「うちは小さな会社なので、狙われることはないと思います」
「盗まれて困るような機密情報もありません」
セキュリティ対策の話になると、このような声を聞くことがあります。
大企業の情報漏えいやランサムウェア被害がニュースになる一方、小さな会社にとっては、どこか遠い話に感じられるかもしれません。
しかし、会社の規模だけで、サイバー攻撃を受ける可能性を判断することはできません。攻撃者が会社名を調べ、一社ずつ標的を選んでいるとは限らないためです。
この記事では、小さな会社でも攻撃を受ける理由と、限られた予算や人員の中で取り組みたい対策を解説します。
攻撃者は、最初から御社を狙っているとは限りません
特定の企業や人物を狙う攻撃もありますが、広い範囲に対して機械的に行われる攻撃もあります。
例えば、インターネット上に公開されたWebサイトや機器を探し、既知の脆弱性や、推測しやすい認証情報などを悪用して侵入を試みるものです。
この場合、攻撃の入口になるのは「有名な会社かどうか」よりも、「外部から接続でき、悪用できる弱点があるか」という点です。
会社の存在を詳しく知られていなくても、公開しているサイトや機器が見つかれば、攻撃の対象になり得ます。
「盗まれる情報がない」場合も、被害は起こります
サイバー攻撃による被害は、機密情報の流出だけではありません。
業務に必要なデータが使えなくなる
見積書、請求書、顧客とのやり取り、設計データ、予約情報などは、外部の人にとって価値が分からなくても、自社の業務には欠かせないものです。
それらが暗号化されたり、削除されたり、アクセスできなくなったりすると、仕事が止まる可能性があります。
「盗まれると困る情報」だけでなく、「使えなくなると困る情報」も確認する必要があります。
Webサイトやメールが不正利用される
Webサイトが改ざんされ、不審なページへの誘導に使われる場合があります。また、メールアカウントが乗っ取られると、取引先へのなりすましメールなどに悪用されるおそれがあります。
金銭を直接盗まれなくても、問い合わせ対応や調査、復旧、関係者への説明などに時間と費用がかかります。
サーバーが、別の攻撃に使われる
侵入されたサーバーが、迷惑メールの送信や、別のシステムへの攻撃などに利用されることもあります。
自社が被害を受けるだけでなく、第三者への被害につながる可能性があるということです。
取引先への入口として狙われることもあります
自社単独では大きな標的に見えなくても、取引先との関係が攻撃に利用される場合があります。
例えば、攻撃者がメールアカウントを乗っ取り、実際のやり取りを読んだうえで、取引先に不審なファイルや偽の案内を送るケースが考えられます。
普段から取引している相手から届けば、受信者も警戒しにくくなります。
また、保守作業などで取引先のシステムへ接続できる会社では、その接続権限や認証情報が悪用されるおそれもあります。
ただし、取引があるだけで、相手のネットワークへ直接侵入できるわけではありません。メール、共有ファイル、接続用アカウントなど、実際にどのような接点があるかを把握することが大切です。
IPAも、中小企業への攻撃が、情報流出や供給停止、取引先への攻撃などにつながるリスクを指摘しています。
小さな会社ほど、被害からの復旧が重荷になる場合も
少人数の会社では、一人が営業、経理、システム管理などを兼任していることも珍しくありません。
その状況で不正アクセスが発生すると、通常の仕事を続けながら、次の対応を進める必要が出てきます。
- 何が起きたのかを確認する
- 被害の拡大を防ぐ
- 外部の専門家やサービス提供元に連絡する
- データやシステムを復旧する
- 取引先や利用者への説明を検討する
専任の担当者がいないからこそ、問題が起きる前に、連絡先と対応の手順を簡単にでも決めておくことが役立ちます。
よくある入口は、身近なところにあります
自社の状況を確認するときは、高度な攻撃だけを想像する必要はありません。まずは、日常的に使っている仕組みから見直しましょう。
更新されていないWebサイトや機器
古いWordPressやプラグイン、独自システム、ルーターなどが残っていないかを確認します。
使っているものに加え、以前のテストサイトや、使わなくなった管理画面なども対象です。不要なものは、依存関係を確認したうえで公開停止や撤去を検討します。
使い回されたパスワード
一つのサービスで漏えいした認証情報が、別のサービスへの不正ログインに使われる場合があります。
会社のメール、サーバー管理画面、クラウドサービスなどでは、サービスごとに異なるパスワードを使い、多要素認証が利用できる場合は設定しましょう。
メールや偽のログイン画面
請求書、配送通知、アカウント停止の案内などを装い、認証情報の入力やファイルの実行を促す手口があります。
見た目だけで判断しにくいものもあるため、不安を感じたときに操作を止めて確認できるルールを用意しておくことが大切です。
限られた予算で、何から始めればよい？
初めから大掛かりな仕組みを導入する必要はありません。まずは、自社の業務に影響が大きい部分から、基本的な対策を進めます。
1．使っているものと、管理する人を把握する
パソコン、Webサイト、サーバー、メール、クラウドサービス、ネットワーク機器などを一覧にします。
それぞれについて、管理者、契約先、更新の担当者を確認しましょう。何を使っているか分からない状態では、更新が必要になっても対応できません。
2．更新を継続できる状態にする
OSやアプリ、Webサイトのプログラム、機器のソフトウェアなどについて、更新方法と担当者を決めます。
業務システムなど、更新に動作確認が必要なものは、確認の方法も用意します。すぐに更新できない場合は、その理由と、更新までの対応を整理しましょう。
3．重要なアカウントから見直す
まずは、会社のメール、クラウド管理者、サーバー管理画面など、乗っ取られた際の影響が大きいアカウントを優先します。
パスワードの使い回しを避け、多要素認証を設定し、不要なアカウントや権限を整理します。復旧用の連絡先も、現在利用できるものになっているか確認してください。
4．バックアップと復元方法を確認する
バックアップを取っているかに加え、何が保存され、いつの状態へ戻せるかを確認します。
普段使う環境から常に書き換えられる保存先だけでは、元のデータと一緒に被害を受ける場合があります。別の保存先や、変更・削除を制限できる仕組みも検討しましょう。
実際に復元できるか、業務を再開するために何が必要かまで確認しておくことが重要です。
5．異変に気づいたときの連絡先を決める
「不審なメールを開いた」「見覚えのないログイン通知が来た」「ファイルが急に使えなくなった」といったとき、誰に連絡するかを決めておきます。
社内の責任者だけでなく、保守会社やサービス提供元などの連絡先も整理しましょう。メールが使えない場合に備え、別の連絡手段も確保しておくと安心です。
従業員の注意力だけに頼らないことも大切です
「怪しいメールを開かないように気をつける」という呼びかけは必要ですが、それだけに頼ると、見落としがあったときに被害を防ぎにくくなります。
多要素認証、権限の制限、ソフトウェアの更新、バックアップなどを組み合わせ、操作を誤った場合にも被害を抑えられるようにします。
また、不審な操作をしてしまった際に、すぐ報告できる雰囲気も大切です。報告をためらうほど、初動が遅れる可能性があります。
外部に任せる場合も、対応範囲を確認しましょう
専任担当者を置くことが難しければ、外部の支援を利用する方法もあります。
ただし、「セキュリティ対策を依頼した」という言葉だけでは、どこまで対応されるか分かりません。
端末の監視、Webサイトの更新、バックアップ、不正アクセス時の調査など、対象となる作業を具体的に確認しましょう。
自社で対応する部分と委託する部分を整理することで、管理の抜けを減らせます。IPAの中小企業向けガイドラインなども、確認の手掛かりになります。
会社の規模よりも、「止まると困るもの」から考える
セキュリティ対策を考えるときは、「うちが狙われるほど有名か」ではなく、「何が使えなくなると、仕事が止まるか」を出発点にすると整理しやすくなります。
メール、顧客情報、予約データ、設計ファイル、管理用アカウント。小さな会社にも、事業を続けるために必要な情報や仕組みがあります。
まずはそれらを把握し、更新、認証、バックアップ、緊急時の連絡体制から見直してみてはいかがでしょうか。
Webシステムの管理状況が分からない場合は、ご相談ください
田村技術研究所では、Webシステムの現状調査、既存プログラムの改修・更新、検証環境の構築などのご相談を承っています。
「昔作ったシステムがそのまま残っている」「誰が何を管理しているか分からない」といった場合も、現在の構成や運用状況を確認するところからご相談ください。
