GMOの情報漏えい、何が起きていたのか？ 神戸大教授が指摘する“死角”（3/3 ページ）

[中根ほづ美，ITmedia]

対策：まずは自社の「弱点」を見つけ出す

　過去の大規模インシデントを見ても、ツールを導入しただけで運用が伴わなかったり、バックアップを取っていただけで復旧手順が機能しなかったりする「形だけの対策」も多くみられる。重要なのは侵入をゼロにすることではなく「被害を最小化し、業務を迅速に復旧させる実効性」だ。

　実効性を高める枠組みとして、経済産業省が導入を進めるのが「SCS評価制度」（サプライチェーン強化に向けたセキュリティ対策評価制度）だ。★3〜5の段階別評価で状態を可視化する。

　25項目81のチェックポイントからなる本制度について、森井氏は「★3や★4を取得すること自体が目的ではない」と話す。制度の真価は、チェック項目を通じて「自社の弱点がどこにあるのか」を自覚し、経営層が責任を持って運用体制を見直すことにあるという。

　キヤノンITソリューションズが製造業・物流業の担当者111人を対象に実施した調査によると、SCS評価制度の認知度は77.5％だった。また、制度を「知っている」と回答した人のうち、90.7％が「★3または★4の取得準備を進めている」と答えた。数字上では比較的順調に準備が進んでいるようにみえる一方で「専門人材不足」（54.1％）、「予算の制約」（44.1％）、「対策基準が不明」（34.2％）といった、セキュリティ対策強化における課題を抱えている実態が浮き彫りとなっている。

SCS評価制度に関する企業の現在位置（提供：キヤノンITソリューションズ）

「うちは狙われない」と思い込む中小企業が一番危ない

　森井氏は、大手企業以上に中小企業が危ない状態にあるという。身代金を要求されない中小企業は、侵入されていても被害そのものに気付いていない可能性があるからだ。

　サイバー攻撃による被害は、事業継続を左右する重大なリスクだ。「経営層がどのように関与し、責任を持つのかが重要だ」（森井氏）

　経営層自らがセキュリティを経営の最優先課題として捉え直し、組織全体の意識改革と実効力ある運用を主導する覚悟が、今まさに問われている。