個人事業主・中小企業経営者へ　情報セキュリティしてますか？

個人情報

1. なぜ個人事業・中小企業が狙われるのか？

  • サイバー攻撃の約6割は中小企業が被害に遭っており、攻撃者は「守りが手薄」「リターンが見込める」中小・小規模事業者を積極的に狙っている。
  • サプライチェーン攻撃の踏み台にされることで、取引先の大企業にも被害が波及し、社会的責任や損害賠償リスクが発生する事例が増加している。
  • 取引先からの信頼失墜や事業停止、場合によっては倒産につながる深刻なリスクがある。

2. 個人事業・中小企業が受ける被害と影響

  • 被害はランサムウェア感染による業務停止、顧客情報の流出による賠償請求、風評被害による取引停止などがある。
  • 被害額は数十万円から数千万円規模に及ぶこともあり、復旧や賠償コストだけでなく、信用失墜による長期的な損失も大きい。

3. 最低限やるべき対策とその理由

  • IPA（情報処理推進機構）の「情報セキュリティ5か条」
対策項目具体的な内容例
OS・ソフトウェアの最新化脆弱性を突かれないために常にアップデート
ウイルス対策ソフトの導入・更新全端末に導入し自動更新を徹底
強力なパスワード管理複雑なパスワード設定・使い回し禁止
データの定期バックアップランサムウェア対策・業務継続のため
セキュリティ教育の実施ヒューマンエラー防止、従業員の意識向上
  • これらは多くが「無料または低コスト」で実施可能であり、まずはできることから始めることが重要。

4. 経営者自身のリーダーシップと社内体制が必要

  • セキュリティ対策は現場任せでは不十分。経営者自身がリーダーシップを持ち、社内で推進する必要がある。
  • セキュリティポリシーの策定、インシデント対応計画の整備、従業員教育体制の構築が中長期的には不可欠。
  • 専門家や外部リソースの活用、eラーニングや疑似訓練なども有効。

5. 法令遵守・社会的要請・取引先からの要求

  • 個人情報保護法などの法令遵守はもちろん、取引先や業界団体からもセキュリティ対策が求められるケースが増えている。
  • セキュリティ対策は「新規取引の条件」や「信頼獲得の手段」としても重要。

6. 情報源・支援策・ガイドラインの紹介

  • IPAや経済産業省の「中小企業の情報セキュリティ対策ガイドライン」など、公的な無料ガイドラインを活用できます。

個人事業主・中小企業経営者にとって最も身近なサイバー攻撃のリスクは何か？

1. 標的型メール攻撃（フィッシング・マルウェア添付メール）

被害事例

  • 国内大手旅行会社が標的型メール攻撃を受け、偽装されたメールの添付ファイルを開封したことで大量の顧客情報が流出した。メールは正規の取引先を装い、内容も巧妙に作られていたため、従業員が疑わずに開封してしまった。

対策例

  • メール訓練による疑似体験やセキュリティ教育で従業員のリテラシーを向上させる。
  • 不審なメールや添付ファイル、リンクを自動的に隔離・無効化する仕組みを導入する。
  • メールの送信元認証や、受信アドレスのホワイトリスト化など技術的な多層防御を実施する。
  • 不明な差出人や内容に心当たりのないメールは開かず、上司や同僚に相談する運用ルールを徹底する。

2. ランサムウェアによる被害

被害事例

  • 県立精神科医療センターがVPN機器の脆弱性を放置したことでランサムウェアに感染し、最大4万人分の患者情報が流出。ダークウェブに掲載された。
  • 大手出版社がフィッシングメールから従業員アカウントを窃取され、業務サーバーや子会社のサービスが停止。約25万人分の個人情報が漏洩した。
  • 世界的には「WannaCry」などのランサムウェアがパッチ未適用のPCに感染し、病院や企業のシステムが業務停止・情報流出・身代金要求の被害を受けた。

対策例

  • OS・ソフトウェアを常に最新の状態にアップデートし、脆弱性を放置しない。
  • アンチウイルスやEDR（エンドポイント検知・対応）製品を導入し、端末を保護する。
  • 不審なメールやファイル、Webサイトを開かないよう従業員教育を徹底する。
  • 定期的なバックアップを行い、万一の際も業務継続が可能な体制を整える。
  • アクセス権限を最小限にし、被害範囲を限定する。

3. アカウント情報の窃取・不正アクセス

被害事例

  • 東京理科大学ではフィッシングメールにより教員・学生のアカウントパスワードが窃取され、アカウント内に保存されていた情報が流出した。
  • 株式会社ハンズでは不正アクセスにより12万件超の顧客情報が漏洩した可能性が生じた。
  • 通販サイトで正規ユーザーになりすました不正ログインにより、数百万円規模の不正注文が発生した。

対策例

  • 予測されにくいパスワードの使用と多要素認証（MFA）の導入。
  • アカウントの権限を最小限にし、不要なアカウントや権限は速やかに削除。
  • 定期的なセキュリティ監査や脆弱性スキャンの実施。
  • OSやアプリケーションを常に最新の状態に保つ。
  • 不審なログインやアクセスを監視・検知するシステムの導入。

4. サプライチェーン攻撃の踏み台化

被害事例

  • 国内企業の事例として、業務委託先がマルウェアに感染し、個人情報が流出。取引先経由で被害が拡大した。
  • アメリカの企業では、自社ツールにランサムウェアが仕掛けられ、利用顧客の情報が大量に窃取・身代金要求された。ツールを利用する多くの顧客にも被害が波及した。
  • 子会社経由で親会社の顧客データや従業員情報が流出した事例もある。

対策例

  • OSやソフトウェアのアップデートを徹底し、脆弱性を放置しない。
  • 取引先や委託先のセキュリティレベルを確認・評価し、必要に応じて指導や契約条件に盛り込む。
  • セキュアなネットワーク環境の構築やアクセス制御の強化。
  • 開発環境やビルドパイプラインのセキュリティ確保、アクセス管理の厳格化。
  • サプライチェーン全体で情報共有・連携し、インシデント発生時の対応体制を整備。

まとめ

これらの被害事例と対策は、個人事業主や中小企業にとっても決して他人事ではなく、日常的な業務の中で実践可能なものが多いです。まずは「自分ごと」として危機感を持ち、できる対策から着実に実施することが重要です。

「自分には狙われるほどの情報はない」と考えている個人事業主・中小企業経営者は多いですが、実際には多くの“価値ある情報”を持っており、十分にサイバー攻撃の標的となり得ます。

参考情報

IPA（独立行政法人　情報処理推進機構）「中小企業の情報セキュリティ対策ガイドライン」