本連載では情報処理推進機構（IPA）の産業サイバーセキュリティセンターで修業を積んだ各分野の専門家が、今の時代に必要なサイバーセキュリティ対策について解説してきました。もし会社がサイバー攻撃を受けてしまったとき、経営者が動揺したり、慌てたりしていては現場が混乱してしまいます。最終回は、緊急の時こそ落ち着いて対処を進めるため、経営者としての準備や心構えをお伝えします。押忍！
■ 「対応や報告が遅い！」と言いたくなるけれど
想像してみてください。明日、会社へ行くと「不正アクセスが発生した」と報告があるかもしれません。そんなとき、誰が、何を、どのように対応するのか想像できるでしょうか。担当者に「対応や報告が遅い！」と言ってしまう状況になっていないでしょうか。もし、少しでも「そうかもしれない」と感じた経営者の方は、以下のような対策項目について担当者と認識を合わせておいてください。
- 対応部門が常駐もしくは臨時的に組める
- 役割ごとに対応手順が文書化されており、すぐに使える
- 機密データ（個人情報や技術情報）の保管方法が明確である
- 社内のシステム構成、ネットワーク構成の最新状態をすぐに確認できる
サイバー攻撃を受けたとき、担当者は現状の把握と被害拡大を防ぐことに必死で、原因調査や報告書作成などが後回しになる可能性があります。経営者としては日ごろから担当者とコミュニケーションをとり、「対応や報告が遅い！」ではなく「日ごろの準備が功を奏したね！」と言えるような環境づくりの支援を心がけていくことが大切です。
■ 「情報漏洩はありません！」と言いたいけれど
昨今のサイバー攻撃では、個人情報や技術情報など企業の機密データが盗まれるケースが頻繁に発生しています。このような最悪の事態を招いてしまうと、顧客や関係各社に対する損害賠償だけでなく、企業ブランドの低下による株価の下落や営業機会の損失に陥る可能性があります。よって、サイバー攻撃による被害が発生したときは、「情報漏洩の有無」「被害把握までに要する時間」が非常に重要なポイントとなります。しかし、家の空き巣と異なり、データはコピーや痕跡の削除が可能なため、「盗まれていない」と断定することは非常に難しくなります。そこで以下のような対策項目について担当者と認識を合わせておくことが重要です。
- 機密データ（個人情報や技術情報など）の保管場所が明確である
- 機密データは安全な状態（暗号化、パスワード設定など）で保存されている
- 機密データを操作（参照や更新など）できる人を限定している
- 機密データを操作した記録が残る仕組みになっている
- 機密データを一度に持ち出せる容量が制限されている
どんな対策を行ったとしても、サイバー攻撃を完全に防ぐことは困難です。しかし、これらの対策で迅速な影響把握が可能となり、被害の拡大を防止することは可能です。万一、自社が被害を受けてしまった際に「情報漏洩はありません」と言える環境を構築できるよう、取り組むことが大切です。
■ 連載の最後に
私たちは産業サイバーセキュリティセンターで経営者と現場の橋渡しを行う中核人材となるべく修業に励んできました。2020年5月21日から開始した本連載も今回が最後となりますが、修業中に培った私たちの想いが、少しでも経営者の方々に届きましたら幸いです。
明日からでも間に合います！ ぜひ、経営者として事業を発展させるとともにサイバーセキュリティの対策もお忘れなく！ 令和の時代も守り続けるために！ 押忍！
連載記事作成者一同
連載編集＝産業サイバーセキュリティセンター（電力分野） 浜村将人