中小企業における情報セキュリティ対策

最近、情報セキュリティに関連するニュースの頻度が低下しているように思われるかもしれません。
しかし、これはセキュリティに関連するリスク、例えば不正アクセスやフィッシング攻撃が減少したことを意味するものではありません。
こうした問題がニュースに登場しなくても、不正アクセスやフィッシングメールなどのセキュリティリスクは変わらず存在しています。
　　
今回は中小企業における情報セキュリティ対策について説明し、その重要性を再認識していただければと思います。
　　
　　

▼情報セキュリティ5か条

言うまでもなく情報セキュリティ対策としてやるべきことは多岐にわたり、コストの面からもそのすべての対策全てを行うことは現実には難しいです。
では中小企業のセキュリティ対策としてはまず何から始めればいいでしょうか。
そのヒントがIPA（独立行政法人情報処理推進機構）が公開している「中小企業の情報セキュリティ対策ガイドライン」にあります。
このガイドラインでは中小企業が最初に取り組むべきセキュリティ施策「情報セキュリティ５か条」として、次の5点が提案されています。
　　
（1）OSやソフトウェアの最新アップデート
（2）ウイルス対策ソフトの導入
（3）パスワードの強化
（4）機密情報の共有設定の見直し
（5）脅威・攻撃の手口を知る
　　
それぞれの対策について説明します。
　　
（1）OSやソフトウェアの最新アップデート
OS やソフトウェアを古いまま放置していると、セキュリティ上の問題点が解決されず、それを悪用したウイルスに感染してしまう危険性があります。
お使いの OS やソフトウェアには、修正プログラムを適用する、または最新版を利用することが必要です。
　　
（2）ウイルス対策ソフトの導入
IDやパスワードを盗んだり、遠隔操作を行ったり、ファイルを勝手に暗号化するウイルスが増えています。
ウイルス対策ソフトを導入し、ウイルス定義ファイル（パターンファイル）は常に最新の状態になるようにします。
　　
（3）パスワードの強化
パスワードが推測や解析されたり、ウェブサービスから流出したIDやパスワードが悪用されたりすることで、不正にログインされる被害が増えています。
パスワードは「長く」、「複雑に」、「使い回さない」ようにして強化することが重要です。
　　
（4）機密情報の共有設定の見直し
データ保管などのウェブサービスやネットワーク接続した複合機の設定を間違ったために、無関係な人に情報を覗き見られるトラブルが増えています。
無関係な人が、ウェブサービスや機器を使うことができるような設定になっていないことを確認することが必要です。
　　
（5）脅威・攻撃の手口を知る
取引先や関係者と偽ってウイルス付のメールを送ってきたり、正規のウェブサイトに似せた偽サイトを立ち上げて IDやパスワードを盗もうとする巧妙な手口が増えています。
脅威や攻撃の手口を知って対策をとる必要があります。
　　
「情報セキュリティ５か条」は、基本的な対策ではありますが、この5か条に取り組むだけでも情報セキュリティ対策として一定の効果があります。
またこの対策に取り組むことでIPAにて創設されている「SECURITY ACTION」という制度での一つ星を宣言することができます。
　　

▼SECURITY ACTION

「SECURITY ACTION」は安全・安心なIT社会を実現するためにIPAにより創設され、中小企業自らが情報セキュリティ対策に取組むことを自己宣言する制度となり、IT導入補助金の要件にもなっています。
　　

▼SECURITY ACTIONの進め方

１．取り組み目標を決める
取組み目標に応じて「一つ星」と「二つ星」があります。
「一つ星」は「情報セキュリティ5か条」に取組むこととなります。
「二つ星」は中小企業の情報セキュリティ対策ガイドライン付録の「5分でできる！情報セキュリティ自社診断」で自社の状況を把握したうえで、情報セキュリティポリシー（基本方針）を定めて外部に公開します。
２．自己宣言する
「一つ星」あるいは「二つ星」の要件を達成すれば、IPAのサイトにて宣言します。
宣言を行うとSECURITY ACTIONロゴマークをポスターやパンフレット、名刺などに表示して、取組みをアピールすることができるとともに、情報セキュリティへの取組みを宣言している中小企業としてSECURITY ACTIONのウェブサイトに掲載されます。
３．ステップアップする
「一つ星」の中小企業は、情報セキュリティをさらに向上させるために「二つ星」の宣言ができるように対策をすすめ、「二つ星」の中小企業は、情報セキュリティ対策をさらに有効にするために情報セキュリティポリシーの策定およびポリシーの継続的な見直しによる新たな脅威等への対応を実施していくようにします。
なお、東京都で実施されている中小企業サイバーセキュリティ対策継続支援事業では、中小企業が「二つ星」の宣言ができることを目指した支援を無償で受けられます。
　　
以上、IPAにて策定されている「情報セキュリティ５か条」を中心に中小企業における情報セキュリティ対策について説明しました。
最近、大企業のセキュリティが強固であるため、取引先の中小企業から攻撃する「サプライチェーン攻撃」を増加させています。
会社の情報や、情報機器に対するリスクは、経営に直接被害を与えるということを念頭に、情報セキュリティ対策を実施していかなければいけません。
また情報セキュリティ対策は一度実施すれば終わりではなく、常にアップデートする必要があります。
SECURITY ACTIONの「二つ星」の宣言、さらにその上の情報セキュリティ対策に取り組んで頂ければ幸いです。