【対談】激化するサイバー攻撃、組織はどう備える？

増える「身代金型攻撃」

杉山：現代のビジネスパーソンにとってIT・デジタル知識は、読み書きそろばんと同じように基礎的教養になったと考えています。一方で、サイバー攻撃によって企業などが損害を受ける例が増えていますね。最近のサイバー攻撃の特徴を教えてください。

土井氏：かつては企業のデータを盗み出して闇市場で売るという手口もありましたが、5、6年前からはランサムウェアといって、PCに保管されているファイルや、データベースを勝手に暗号化し、元に戻すことの対価として身代金を取ることを目的にするケースが大多数を占めています。特に電気、ガス、鉄道などのインフラ企業や病院などは攻撃されると社会に大きな影響があります。

杉山：組織はどう備えたらよいでしょう。

土井氏：警察庁の統計で、ランサムウェアの侵入経路の6割以上はVPNからと言われています。多くはVPNそのものの脆弱性を突かれたもので、これは常時監視して防ぐシステムもあり、当社でもMS&ADサイバーリスクファインダーとしてご提供しています。

一方でIDとパスワードが盗まれて不正にログインされるケースもあります。このリスクには多要素認証と呼ばれるID/パスワード以外の認証手段（スマホAuthenticatorアプリでの認証や、携帯ショートメッセージ（SMS）、電子証明書のインストール等）を導入することで、リスクを低減することが出来ます。

人的教育も非常に重要

杉山：DXが進む中で、組織の一人一人がデータに触れているので、個々人のセキュリティに対するリテラシーを高める必要がありますね。システムを突破するより、人間の弱みを突くほうが犯罪者にとっては簡単ですから。

土井氏：人的対策は、技術的な対策とともに非常に重要です。米ベライゾンのリサーチでは、データ漏洩被害のうち、悪意のない人的なミスから起きたケースが68％というデータもあります。従業員に対して継続的なセキュリティ教育をすることは、被害防止に大きな効果があります。

杉山：生成AIの登場のように技術の進化、社会的な変化が大きい時代ですね。

土井氏：新しいものが次々出てくるので、知識の継続的なアップデートが重要なポイントです。当社では生成AIを使う際には、AIのリスクを理解しているかどうかのテストを必須としています。

在宅勤務にもリスク

杉山：在宅勤務が増えていることで、プライベートとオフィシャルの線引きがあやふやになることもありますね。

土井氏：デジタルツールは個人で使うのと業務で使うのは違うということも忘れてはいけません。便利だからと言って企業の秘密情報をLINEでやりとりしたり、ChatGPTに入力したり、ということは、避けるべきです。

杉山：例えば、契約書のような重要な書類を郵送するときは、普通郵便ではなく書留や配達証明郵便を使いますよね。それと同じで、重要な情報は安易に取り扱わないというように、個々人に理解できる言葉で伝えることが、研修の重要な手法だと思います。

土井氏：人間ですから誰しもミスはあります。しかし、例えばうっかりミスで会社に大きな被害が出たとき、当事者の従業員も大きなメンタルの影響を受けますし、中には退職せざるを得ないケースもあります。セキュリティ教育をすることは、従業員を守ることにもなるということを、会社経営者の皆さまに知って頂きたいと思います。

サイバー保険、日本でも普及へ

杉山：サイバーリスクに対して保険をかけるケースもありますか。

土井氏：欧米ではサイバーリスク保険は日本の数十倍の規模のビジネスになっています。3年から5年以内には日本でもサイバーリスクに保険を掛けるというのが普通になってくるでしょう。ただ準備や対策をきちんと取っていないと保険料も大きくなってしまいます。

杉山：企業の規模にかかわらず、技術的対策と従業員教育の両面が必要コストだということを意識していく必要がありますね。

土井氏：アクセルを踏むときにはガードレールも必要です。デジタル化、情報化はますます加速するでしょうから、リスクにきちんと備えることが大事ですね。

対談を終えて　杉山晋一

当社は設立来、ITスキルはリベラルアーツであり、DXを実現する鍵は、自組織の業務に精通している社員にDX研修を実施する事であると考え、サービスを提供してきました。

組織内でコンピューター技術・通信技術に精通した社員が増え、業務の効率化・新規事業・商品の開発が進むと、その基盤である情報処理機械・装置の、事業におけるウェートが上がってきます。

従って、業務を安定的に運営するためには、ますますサイバーセキュリティに対する知識・見識を備えた人員、そして危機管理ができる組織・体制が必要となります。

今回の対談を経て、当社としても改めて実効性のあるセキュリティ分野の研修や、組織体制づくりのコンサルティングを強化してまいります。