サイバー攻撃は増加傾向に。経営者が先導すべきサイバーセキュリティ対策とは

企業内の重要情報を外部へ流出させたり、企業のシステムを停止させたりするサイバー攻撃。近年、その件数は増加傾向にあります。2015年には約4割の企業にサイバー攻撃を受けた経験があったということです。
（出典：経済産業省「サイバーセキュリティ経営ガイドライン」

http://www.meti.go.jp/policy/netsecurity/downloadfiles/CSM_Guideline_v1.1.pdf ）

そういった状況ではありますが、日本ではサイバー攻撃への対策がIT担当者任せになっている場合が多く、経営者が中心となってサイバーセキュリティを推進していこうという意識が低いといわれています。

サイバーセキュリティはやむを得ない「経費」ではなく、積極的な経営への「投資」として認識し、経営者が主導して対応強化に取り組むべきです。経営者が意識すべきサイバーセキュリティについてご紹介します

セキュリティインシデントの状況

サイバー攻撃は企業にとって避けられないリスクとなっています。2016年に起こったセキュリティインシデントでは、個人情報が漏えいした人数は約1,400万人にのぼり、想定損害賠償総額は2,700億円を超えています。インシデント1件あたりの平均想定損害賠償は約6億円にもなります。
（参考：NPO日本ネットワークセキュリティ協会「2016年 情報セキュリティインシデントに関する調査報告書」http://www.jnsa.org/result/incident/ ）損害賠償だけでなく、企業イメージの低下による売り上げへの影響なども含めれば、損失はさらに大きくなると予想されます。このように、セキュリティインシデントが一度起こってしまうと、企業に大きな損害をもたらします。
サイバー攻撃は今後も続くと予想されるため、企業は防衛対策を強化していく必要があります。

経営者として知っておくべきこと。サイバーセキュリティ経営ガイドラインについて

サイバー攻撃のリスクが高まる中、経営者には、先頭に立ってサイバーセキュリティ対策を推進していく姿勢が求められています。
経済産業省は「サイバーセキュリティ経営ガイドライン（http://www.meti.go.jp/policy/netsecurity/downloadfiles/CSM_Guideline_v1.1.pdf ）」を策定し、経営者が認識する必要のある3原則として以下の内容を示しています。

（１）経営者は、IT活用を推進する中で、サイバーセキュリティリスクを認識し、リーダーシップによって対策を進めることが必要

業務効率化のためにITサービスを活用する機会は増加しています。経営者自らが主導してサイバーセキュリティ対策を進めていかなければ、重大な経営リスクの1つを見落としてしまうことになりかねません。

（２）自社は勿論のこと、系列企業やサプライチェーンのビジネスパートナー、ITシステム管理の委託先を含めたセキュリティ対策が必要

サイバーセキュリティ対策は自社のみで完結するわけではありません。系列企業やビジネスパートナー、委託先のセキュリティが脆弱だった場合、そこから情報が流出する可能性があります。自社だけでなく関連する企業も含めてサイバーセキュリティ対策を推進する必要があります。

（３）平時及び緊急時のいずれにおいても、サイバーセキュリティリスクや対策、対応に係る情報の開示など、関係者との適切なコミュニケーションが必要

日頃からサイバーセキュリティ対策に関する情報開示を行っておくことで、自社の信頼性向上につながります。

万が一セキュリティインシデントが起こってしまったときには、情報をすぐに共有すべきです。これにより、企業としての信用の失墜を抑えるとともに、被害の拡大防止につなげられます。

経済産業省の「サイバーセキュリティ経営ガイドライン（http://www.meti.go.jp/policy/netsecurity/downloadfiles/CSM_Guideline_v1.1.pdf ）」ではさらに、経営者がセキュリティ責任者に対して指示するべき内容として10項目が挙げられています。

その一部をご紹介すると、

といった項目があります。経営者自らがセキュリティに関する情報を収集し、企業のトップとして指示を出すことが求められているのです。

社内から社外への情報送信時にも、サイバーセキュリティ対策が必要

外からのサイバー攻撃を防ぐ対策はもちろんですが、社外への情報漏えい防止のためには、社内での対策も必要です。具体的には、社内で使用するデジタルツールの見直しなどが考えられます。

デジタルツールの中でも使用頻度が高いのがファイル送信。社内外でのデータのやりとりには、信頼性の高い法人向けの大容量ファイル送信サービスが適しています。

現在お使いのファイル送信サービスには、暗号化やファイル送信先の制限などセキュリティを確保できる機能があるか、もう一度見直してみるべきではないでしょうか。

まとめ

サイバーセキュリティは、経営者こそがしっかりと認識し、企業の経営戦略として取り組むべきです。

サイバーセキュリティにしっかり取り組んでいる企業であると示すことは社会的評価の向上にもつながります。自社への信頼性をより高めるための「投資」として、企業の情報を守り不審な侵入を許さない防御のセキュリティだけではなく、社内から社外へ情報を送信する際に意図しない流出を防ぐための環境整備にも取り組む必要があります。