コンピュータをターゲットとするサイバー犯罪、セキュリティ事案が頻発している。大企業だけでなく、中小零細企業、個人も関係なく、セキュリティ対策をとっておかなければ何が起きてもおかしくない。

個人情報漏洩事件をまとめたサイトを見ていたら、友人の会社が出てきて驚いたことがある。1件は小学校時代の同級生が経営している化粧品輸入販売会社で、もう1件は高校時代の知人が経営しているパソコンサプライ用品通販会社。前者が年商十数億円、後者が年商数億円という企業だ。いずれも外部からの不正アクセスによって顧客名、メールアドレスなどの個人情報が漏洩した。サプライ用品通販サイトではクレジットカード番号、セキュリティコードなどの情報も流出した。数年前の事件であり、両社とも現在は無事に運営されているが、当時は大変な状況に追い込まれたことだろう。

私も小規模ながら通販サイトを運営しているので、セキュリティ対策は他人事では済まされない。

本書はNECのCISO（Chief Information Security Officer：最高情報セキュリティ責任者）兼サイバーセキュリティ戦略統括部長を務める淵上真一氏が中心となり、NECのサイバーセキュリティ担当者14人が共同執筆している。国家安全保障レベルから官公庁、民間企業のセキュリティ担当、セキュリティ研究者、セキュリティ製品開発担当、DX推進担当、マーケティング担当など実務経験豊富な選りすぐりのチームだ。

コンピュータセキュリティの本というと、IPアドレスとか暗号アルゴリズム、SQL、ログ解析などネットワークの知識が中心になりがちだが、本書にはそういった技術的な話題はほとんど出てこない。経営層が知っていなければならない、経営上のマネジメント、リスク管理、ガバナンス管理がテーマであり、平易な文章と豊富な図版で解説している。

まずは経営産業省とIPA（情報処理推進機構）が共同で制定している『サイバーセキュリティ経営ガイドライン』を取り上げ、経営者が認識すべき3原則、サイバーセキュリティ経営の重要10項目を説明している。ここでセキュリティ対策は削減したい「コスト」ではなく、事業を拡大するために必要不可欠な「投資」と考えるよう、経営層に意識改革を訴えている。

たとえば、不正アクセスによってクレジットカード情報が漏洩した事例の場合、クレジットカード決済を通販サイト内で行っていたことが原因だ。決済処理をカード決済代行会社に依頼すれば、カード情報は社内に残らない。この決済代行手数料は4%程度で、通販サイトにとってはけっこう重い負担だが、いったん情報漏洩が起きた時の補償や信用失墜、サイト閉鎖中の販売ロスを考えれば、どちらが得かは自然とわかるだろう。

ここ数年で、セキュリティ対策をネットワークのどのレベルで実施するかが大きく変わってきている。以前はインターネットと社内ネットワークの接続点にファイヤーウォールを設置することで外部からの侵入を防げばセキュリティは守れるという境界防衛モデルが主流だった。

ところが企業のサーバーが外部のクラウドに置かれるようになり、在宅勤務、テレワークが普及し、社内から社外のサーバーに、あるいは社外から社内のサーバーやパソコンにアクセスすることが増えてきた。こうなると外部と内部の区切りがあいまいになり、境界防衛だけではセキュリティを守れなくなる。

ここで登場してきたのが「ゼロトラスト（＝すべてを疑う）」という考え方だ。外部と内部の境界だけで防衛するのではなく、社内のネットワークも危険と考え、すべてのアクセスを信用せず、それぞれのパソコン、ファイルサーバー、複合機など個々のIT機器ごとでセキュリティを確保しなければならないという考え方だ。建物の管理で言えば、正面玄関に守衛が立っていて不審者の侵入を防ぐのが境界防衛で、フロアごと、部屋ごとに入退室の管理を行う状態がゼロトラストだ。エリアに出入りできる社員のレベルを細かく分け、だれがいつ立ち入ったかを把握するわけだ。

今では会社内でもドアを開くのにIDカードが必要なところが増えている。すべてを疑ってかかる、社内も一般道路と同じであり、犯罪者が歩いてるかもしれない。コンピュータセキュリティも各自・各部署で守らなければならないのだ。

社会がIT化するにつれてサイバー犯罪も増加の一途をたどっている。かつてのサイバー犯罪といえば、Webサイトに侵入して画像を張り替えるなど、暴走族が「〇〇参上！夜露死苦」みたいな落書きを残すのと同じような例が多かった。あるいはIT能力が低い「お子様」がアンダーグラウンドサイトで公開されているクラッキングツール（スクリプト）を実行するだけの「スクリプト・キディ」といった愉快犯などもあった。

だが、現在のサイバー犯罪はパソコンやサーバー内のデータを暗号化し、アクセス不能にし、解読できるようにするためには身代金を要求するランサムウェアなど金銭目的が第一だ。ランサムウェアをサービスとして提供するRaaS（Ransomware as a Service）というビジネスモデルが登場し、企業ネットワークへの侵入に必要な情報、ランサムウェアの開発者、企業との身代金交渉者、資金洗浄サービスなど専門家を用意しているという。

RaaSだけでなく、フィッシングメール・サービスを提供するPaaS（Phishing as a Service）、サーバーへのアクセスを集中させてダウンさせるDoS攻撃を提供するDaaS（DoS as a Service）など、様々なサイバー犯罪サービスがあるというのだ。当然、これらの「顧客」も「経営者」もビジネスとしてサイバー犯罪サービスで利益を得られるようになっている。

本書では「今、猛威を振るうランサムウェアによる攻撃は金銭目的であり、RaaSを使って機械的に片っ端から攻撃しています。攻撃先がどのような企業なのかは関心事ではないのです」「今はまだ自社に順番が回ってきていないだけ」と、業種や規模、知名度に関係なく、すべての企業が緊張感をもって対応すべきと警鐘を鳴らしている。

サイバーセキュリティ対策を取らずに、あるいは軽んじての会社経営は、保険に入っていない自動車を運転するのと同じくらい危険な行為だ。被害者だけでなく、会社も経営者も莫大な損害を被るリスクがある。

裏金疑惑が起きても、ボスたる議員は「知らん」で済ませ、実務を担当している秘書が責任をひっかぶる政治家と違い、一般社会では社員のミスも経営者の責任になる。どのように社内のセキュリティに取り組み、守りを固めるかは経営者の責務だ。

本書では「AIをビジネスの推進力とするのであれば、経営の責任においてセキュリティ対策を実施することは、当然の義務なのです」という。ITは苦手だ、コンピュータのことは分からないという経営層にこそ、最適の指南書として本書を読むことをお勧めする。