セキュリティ対策というと、専門の担当者や高価な製品が必要だと思われがちです。しかし、中小企業がまず取り組むべきことは、それほど多くありません。IPA（情報処理推進機構）が示している「情報セキュリティ5か条」に沿って、実際にやることへ落とし込みます。
なぜ小さな会社が狙われるのか
「うちのような小さな会社を狙う人はいない」と考える方もいます。しかし、攻撃の多くは、相手を選ばず、弱点のある端末やアカウントを機械的に探して行われます。会社の大きさは関係ありません。
また、取引先の大きな会社に入り込むための足がかりとして、対策の手薄な小さな会社が狙われることもあります。自社の被害だけでなく、取引先に迷惑をかけるおそれもあるということです。
1. OSやソフトウェアは常に最新の状態にする
パソコンやスマートフォンの更新の通知を、後回しにしていませんか。攻撃の多くは、すでに見つかって修正済みの弱点を狙います。更新を自動にしておくだけで、防げる攻撃は大きく増えます。
パソコンだけでなく、ルーターやネットワークにつながる複合機なども、更新が必要な機器です。サポートが終わったOSやソフトは、更新そのものが届きません。古いまま使っている機器がないかも確かめます。
2. ウイルス対策ソフトを導入する
最近のパソコンには標準で対策の機能が入っていますが、有効になっているか、定義ファイルが更新されているかを確認します。社員が自分で無効にしていないかも、ときどき確かめておくと安心です。
3. パスワードを強化する
短いパスワードや使い回しは避けます。覚えられない場合は、パスワード管理のツールを使うのが現実的です。あわせて、二段階認証を使えるサービスでは必ず有効にします。
特に、メールのアカウントは最優先で守ります。メールが乗っ取られると、パスワードの再設定のメールも読まれてしまい、ほかのサービスまで次々に入られるおそれがあるからです。
4. 共有設定を見直す
クラウドのファイル共有で、「リンクを知っている人は誰でも見られる」設定のまま放置されているファイルは意外と多くあります。社外の人に見られては困るファイルの共有範囲を、定期的に見直します。
退職した人のアカウントが残っていないかも、同じタイミングで確かめます。退職の手続きの中に、アカウントの停止を入れておくと漏れを防げます。
5. 脅威や攻撃の手口を知る
偽のメールで添付ファイルを開かせたり、偽の画面でパスワードを入力させたりする手口は、年々巧妙になっています。取引先を名乗って振込先の変更を求めるメールのように、普段の業務に紛れ込む手口もあります。
どんな手口があるのかを社内で共有しておくだけでも、被害は減らせます。「振込先の変更は、メールだけで受け付けず、電話で確かめる」のような、具体的な決まりを作っておくのも効果的です。
| 対策 | やること |
|---|---|
| OSやソフトウェア | 常に最新の状態にする |
| ウイルス対策ソフト | 導入する |
| パスワード | 強化する |
| 共有設定 | 見直す |
| 脅威や攻撃の手口 | 知っておく |
もしものときの連絡先を決めておく
対策をしていても、被害を完全に防ぐことはできません。おかしなメールを開いてしまった、パソコンの様子がおかしい、と気づいたときに、誰に連絡するのかを決めておきます。早く気づいて早く止めるほど、被害は小さく済みます。
取り組んだことを宣言する
IPAには、これらの対策に取り組むことを中小企業が自ら宣言する「SECURITY ACTION」という制度があります。取引先に対策の姿勢を示せるほか、補助金の申請で要件になることもあります。
参考：IPA（独立行政法人情報処理推進機構）「中小企業の情報セキュリティ対策ガイドライン」「SECURITY ACTION」 https://www.ipa.go.jp/