サイバー攻撃やうっかりミス、悪意のある行為などによる情報漏えいの被害が後を絶ちません。大きなニュースで取り上げられるのは主に大企業ですが、中小企業も同じことが起こり得ます。IPA（情報処理推進機構）が公開している「中小企業の情報セキュリティ対策ガイドライン第3.1版」をもとに、セキュリティ対策を見直してみましょう。

中小企業でも起こり得る情報漏えい

株式会社日本パープルが2020年に調査した『「社内の情報管理」に関する調査』の結果によると、中小企業の約4割が情報漏えい事故の経験があるといいます。情報漏えい後には、事後対策の費用・損害賠償が発生するほか、社会的信用の失墜などが起きています。

また、日本企業が情報漏えいした場合にかかる損失額は、1件当たり約4億5000万円だと日本IBMは2020年8月に調査報告書を発表しています。

情報漏えいの主な原因は、サイバー攻撃やウイルス感染などの外的な要因と、デバイスの紛失や盗難、メール誤送信などの人的なミス、内部不正などの内的な要因の2つに分けられます。

サイバー攻撃では、大企業に比べてセキュリティ管理が甘い傾向にある中小企業を入口としたサプライチェーン攻撃も増えつつあります。中小企業のネットワークを入口として入り込み、最終的には関連のある大企業のネットワークに侵入するという手口です。大企業にまで被害が及ぶと、損害額が大きくなる可能性があるうえ、サイバー攻撃の入り口となった中小企業には取引停止などのリスクもあります。

中小企業ではセキュリティ専門の従業員がいないことも多いのですが、情報漏えいリスクを減らすために、企業規模を問わずしっかりと対策を行うことが大切です。

中小企業から大企業まで！情報セキュリティ対策はハイパーのセキュリティア推進部で！

https://www.securitier.jp/

「中小企業の情報セキュリティ対策ガイドライン第3.1版」とは？

IPAは同ガイドラインの第3版を2019年3月に公表しましたが、新型コロナ禍によるテレワークの普及、DX推進などの社会動向を踏まえ、2024年3月に第3.1版を公表しました。「第1部　経営編」は経営者が認識すべきこと、「第2部　実践編」では担当者が実践すべきことが書かれています。

このガイドラインをもとに、中小企業が対策すべきことをチェックしていきましょう。

第1部　経営編

第1部では、情報セキュリティ対策は経営者がリーダーシップをとって進めることが大切であると述べています。また、業務を外部に委託している場合は、その委託先の情報セキュリティ対策にも考慮することや、社内・社外の関係者と常に情報セキュリティのコミュニケーションをとることも重要だと説明しています。

セキュリティ対策は従業員一人ひとりが意識を高め、気をつけることが大切であるのは言うまでもありませんが、その対策が負担になるようではメインの業務の妨げになりかねません。経営者が判断して事業内容に合った適切な対策を実施することで、従業員は安心して働くことができます。

ガイドブックでは、「重要７項目の取組」として以下の7つの取組を勧めています。

取組1：情報セキュリティに関する組織全体の対応方針を定める

取組2：情報セキュリティ対策のための予算や人材などを確保する

取組3：必要と考えられる対策を検討させて実行を指示する

取組4：情報セキュリティ対策に関する適宜の見直しを指示する

取組5：緊急時の対応や復旧のための体制を整備する

取組6：委託や外部サービス利用の際にはセキュリティに関する責任を明確にする

取組7：情報セキュリティに関する最新動向を収集する

第2部　実践編

情報セキュリティ対策を進めるには、できるところから行うことが早道です。

中小企業が情報セキュリティ対策に取り込むことを自己宣言できる「SECURITY ACTION」という制度があるのですが、その制度では以下の5か条への取り組みを宣言することで一つ星が付きます。基本的な対策なので、まずはここから心がけるのもいいでしょう。

情報セキュリティ5か条

１．OSやソフトウェアは常に最新の状態にしよう！

２．ウイルス対策ソフトを導入しよう！

３．パスワードを強化しよう！

４．共有設定を見直そう！

５．脅威や攻撃の手口を知ろう！

SECURITY ACTION公式サイト

https://www.ipa.go.jp/security/security-action/

次の段階で行うのは組織的な取り組みです。経営者が定めた方針を明文化し、従業員に周知します。さらに、経営者やセキュリティ担当者は、自社のセキュリティがどれくらい実施できているかを把握し、今後実施しなくてはいけない対策を洗い出します。

セキュリティ対策の対象は、情報の機密度の高低も含めて考えます。例えば発売後の製品情報などは万が一盗まれても問題がないためローリスク、個人情報は漏えいした場合大きな問題になるので最大のリスクとする、などです。

そこまでできたら、あとは本格的な対策です。

情報セキュリティ対策の実施にあたって責任分担、管理体制などを決め、セキュリティ事故や事件が発覚したときの連絡体制も明確にしておきましょう。

セキュリティ対策の実践を始めてからも、定期的に点検、改善を続けるようにしてください。

テレワーク、ハイブリッドワークを進めている企業も増えてくるため、その対策も大切です。

＜中小企業の情報セキュリティ対策ガイドライン第3.1版＞

https://www.ipa.go.jp/security/guide/sme/about.html

まとめ

・情報漏えいが起こると多額の損害が生じるケースも

・情報セキュリティ対策は、経営者が責任をもって行うといい

・対策はできるところから積み重ねていく

中小企業でも起こり得る情報漏えい

中小企業から大企業まで！情報セキュリティ対策はハイパーのセキュリティア推進部で！

「中小企業の情報セキュリティ対策ガイドライン第3.1版」とは？

第1部 経営編

第2部 実践編

まとめ

第1部　経営編

第2部　実践編