限られた経営資源でも、セキュリティは強化できる。

この解説は、セキュリティの現場を見てきた筆者が、小規模から中小規模の会社向けに書いたものです。NTT の光回線を契約し、Windows の PC で仕事をしている、ごく普通の会社を前提にしています。

IT の専門部署がある規模なら、一元管理のための機器とソフトでセキュリティの仕組みを作るのが正解です。この解説は、専任の IT 部署を置けない会社のためのものです。つまり、社員みんなでセキュリティの意識を高めていく会社のためのものです。

大きな出費はできなくても、やるべきことはあります。6 つの層のうち、3 つは無料でできます。

攻撃者は、狙う会社を人の目で選んでいません。インターネットにつながっている機器（VPN 装置やルーター）の弱点を、プログラムが 24 時間、無差別に探しています。対策を放置している会社は、規模に関係なく、自動的に侵入されます。

もうひとつの手口が、取引先を踏み台にする「サプライチェーン攻撃」です。守りの固い大企業に正面から入るのではなく、守りの手薄な取引先や協力会社を先に乗っ取り、そこを経由して本命に入ります。規模に関係なく狙われる理由は、ここにあります。

ランサムウェア（データを暗号化して身代金を要求するウイルス）に感染すると、「PC が動かない」では終わりません。

個人情報が漏れた、または漏れたおそれがある場合、個人情報保護法により、個人情報保護委員会への報告と本人への通知が義務です（2022 年 4 月施行）²。対象は、要配慮個人情報（病歴など）、財産的被害のおそれ、不正の目的による漏えい、1,000 人を超える漏えいの 4 つで、いずれも「おそれ」の段階で対象になります。

報告を怠って命令に違反すると、法人には 1 億円以下の罰金があります。それ以上に、「隠していた会社」として取引を失うことが致命傷になります。早く正しく報告している事実は、会社の誠実さを示す材料になります。

どれだけ良いウイルス対策ソフトを入れても、100% 防ぐことはできません。入口、PC、人、バックアップ、記録、計画。それぞれの層で少しずつ止めると、全体の守りは大きく上がります。

「防御 100%」ではなく、まず「侵入されない仕組みを作る」、つぎに「侵入されても、最重要の業務を止めず、身代金を払わずに数日で復旧できる」ことを目指します。低コストの防御と、確実に戻せる仕組みの組み合わせが、限られた予算で最も費用対効果の高い守りです。