中小企業の情報セキュリティ、何から始めるとよいか

情報セキュリティは何から手をつければよいか、というご相談をいただくことがあります。多くの場合、きっかけは取引先から対策状況を聞かれたことです。中小企業の場合、いきなり大がかりなことをする必要はありません。順番があります。この記事では、その順番を整理します。

「うちは狙われない」という前提が変わりました

以前は、狙われるのは大企業だという前提がありました。いまは事情が変わっています。

ひとつは、攻撃が自動化されたことです。相手を選んで狙うのではなく、弱いところを機械的に探して回るやり方が主流になりました。会社の規模は関係ありません。

もうひとつは、取引先への入口として見られることです。大きな会社を直接攻めるより、つながっている中小企業から入るほうが楽だからです。そのため近年は、発注元から取引先に対して対策状況の確認が回ってくるようになりました。

ご相談を受けて最初にお聞きするのは、何を守りたいのかです。道具を買うのはそのあとで構いません。

顧客の個人情報なのか、図面や見積といった技術・営業の情報なのか、あるいは業務が止まらないことそのものなのか。これによって、手を打つ場所が変わります。

たとえば「業務が止まらないこと」がいちばん大事な会社であれば、優先すべきはバックアップです。個人情報を多く預かる会社なら、持ち出しと共有設定が先になります。ここを決めないまま製品の話から入ると、必要のないものを買うことになりがちです。

守るものを決めるのは、社長にしかできません。ここだけは外部に任せられない部分です。

守るものが決まったら、次は基本です。難しいことではありませんが、できていない会社は少なくありません。

このうち二段階認証と共有設定の2つは、費用をかけずに今日から手を打てて、効果もはっきりしています。まだであれば、ここからで十分です。

基本の対策に取り組んだら、SECURITY ACTIONという制度があります。IPA（情報処理推進機構）が実施しているもので、中小企業が自ら対策に取り組むことを宣言する仕組みです。

一つ星は基本の対策に取り組む宣言、二つ星は自社で診断をして基本方針を作ったうえでの宣言です。費用はかかりません。宣言するとロゴが使えるので、名刺やWebサイトに載せられます。

グレジャーも自社で二つ星を宣言しています。手続き自体は、対策ができていれば1時間ほどで終わります。ただ、手続きより自社診断のほうに意味があります。項目を一つずつ見ていくと、できていないところが自分で分かるからです。

補助金の申請で要件になっていることもあるので、その意味でも取っておいて損はありません。

中小企業にとって現実的なゴールは、完璧な対策ではなく、取引先に聞かれたときに答えられる状態だと考えています。

対策状況の確認が来たときに困るのは、何もしていないからではなく、していることが文書になっていないからです。担当者の頭の中にはあるけれど、書いたものがない。これだと答えようがありません。

必要なのは、分厚い規程ではありません。何を守るのか、誰が管理しているのか、何かあったときに誰に連絡するのか。この3つが数枚の紙になっていれば、たいていの確認には答えられます。SECURITY ACTIONの二つ星で作る基本方針が、そのまま土台になります。

ときどきいただく質問です。私はISMSの審査員補の資格を持っている立場ですが、すべての会社にお勧めするものではありません。

取ったほうがよいのは、取引先や入札の条件になっている会社、預かっている情報の性質上どうしても求められる会社です。この場合は、取ること自体に事業上の意味があります。

一方で、運用がまだ回っていない段階で認証だけを目指すのは、あまりお勧めしません。審査に通るための書類づくりが目的になってしまい、現場は「よく分からない記録を書かされる仕事」が増えたと感じます。これでは長続きしません。

認証は「仕組みを持っている」ことの証明であって、安全である保証ではありません。順番としては、基本の対策とSECURITY ACTIONで土台を作り、そのうえで必要になったら考える。これで十分だと思います。

情報セキュリティは、一度やって終わりではなく、年に一度でも見直す形にできると長く続きます。逆に言えば、最初から完璧を目指す必要はありません。

グレジャーでは岡山を中心に、現状の確認から基本方針づくり、社内への周知までをお手伝いしています。金融機関や商工会議所などで、情報セキュリティをテーマにした研修の登壇も承っています。取引先から確認が来て困っている、という段階でも構いませんので、まずは現状をお聞かせください。