予算や人的リソースが潤沢にある大手企業とは異なり、中小企業の場合は情報セキュリティ対策予算が少なく専門の担当者が居ないケースが多いため最小限の対策にとどまっており、ウイルス対策ソフト以外の対策、例えばファイアウォールの設置、データバックアップ、アクセス制御などの対策はあまり行われていないのが実情です。

情報セキュリティ対策担当者がいる小規模企業は19.6%

ウイルス対策ソフト以外の対策はあまり行われていない
(出典) IPA 2015年度 中小企業における情報セキュリティ対策に関する実態調査 報告書

小規模企業では約60%がセキュリティ対策を組織的に行っておらず、各自の対応となっています。101人以上の中小企業でも専門部署がある企業は30.9%にとどまり、兼務の担当者による対策を行っている企業が32.5%、残りが担当者不在、または不明というように、多くの中小企業では十分なセキュリティ対策が行われていません。このような中小企業の情報セキュリティ対策状況に関わらず、ビジネスのグローバル化と共に攻撃対象は変化し攻撃方法は日々進化しますます巧妙になっています。

中小企業だから狙われないと思っていたのは昔のこと

標的型攻撃に狙われると、守りの堅いメインターゲットにたどり着くためにまずセキュリティの弱い周辺企業から攻撃されることが広く知られるようになり、「もしも、情報システムに侵入されたり関係者になりすまされて、取引先やお客様に迷惑がかかったら？」と思う方が増えています。情報セキュリティに対する脅威の高まりを受け、「脆弱なセキュリティ対策のままで良いわけがないのはわかっているけど、セキュリティに詳しい担当者はいないし、費用もあまりかけられない・・・」という悩みを多くの中小企業の方が抱えています。

では、具体的にどうしたらよいのでしょうか？

仮に大企業と同じように高価なセキュリティ対策を行ったとしても100%被害を防ぐことはできません。事実、脆弱とは言えないシステム、というよりも逆に堅牢なセキュリティシステムを導入していたはずの大企業でも被害に遭っていたことが報じられています。

ですから、完全に防げなかったとしても致命的なダメージを負わないようにするという、ある意味割り切ったセキュリティ対策であればリーズナブルかつ容易に行うことができます。完全ではなくても、まずは今できる情報セキュリティ対策から始めましょう。

例えば、ウイルスの行動検知システムを導入したり、外部への不正な通信を遮断するようなシステムを使用すれば、外部から侵入されたとしても最悪の状況である重要情報の漏えいは免れます。しかし、そういった対策システムの導入が費用的、運用負担的に難しくても、重要情報を暗号化して保存しアクセス権限をしっかり設定しておけば安価かつ容易に対策出来ますし内部犯行に対しても効果的です。

統合セキュリティ対策ができるUTMやDLP、暗号化ソフトであれば安価な製品がありますので中小企業のセキュリティ対策にマッチしています。

さらに、ファイル操作、ネットワークアクセス履歴などを記録しておくようにしておけば、仮に事件が起きた場合に原因究明ができるだけでなく内部犯行の抑止につながります。

今すぐ実行！基本のセキュリティ対策

これらの基本的なセキュリティ対策には費用はかかりませんので、追加のセキュリティ対策機器やセキュリティサービスを導入る前に、ぜひ行ってください。最新の攻撃手法や未知のウイルスなどが度々クローズアップされますが、多くの攻撃は既知のセキュリティホールや既知のウイルスを利用しています。基本の対策を行うことで被害に遭う確率を減らすことができます。

● Windowsアップデートは必ず行い、OSを最新の状態に保つ。
● アプリケーションソフトの最新パッチを適用してセキュリティホール対策を行う。
● ウイルス対策ソフトを稼働する全端末にもれなく導入し、ウイルスデータベースを

　最新の情報にしておく。
● 破られにくい強固なパスワードを使用して、定期的に更新する。
● 勝手にフリーソフトをインストールしない。
● 管理対象外の端末を自社ネットワークに接続しない。
● 管理対象外のUSBメディア、スマートデバイスを許可なく自社端末に接続しない。

中小企業の情報セキュリティ対策ガイドライン

IPA（独立行政法人情報処理推進機構）が、中小企業の情報セキュリティ対策においてより具体的な対策を示す「中小企業の情報セキュリティ対策ガイドライン」を公開しています。中小企業における情報セキュリティ対策の考え方や実践方法について詳細に説明していますので、自社のセキュリティ対策を再度チェックしてみましょう。