企業における情報セキュリティの重要性と具体的な対策

2023年11月28日 www.soliton.co.jp より移設

情報セキュリティ対策はすべての企業に必須であり、機密情報を守ったり顧客情報や取引先との円滑な関係を維持したりするために欠かせないものです。
ここでは、企業における情報セキュリティについて重要性や対策方法を説明します。

企業における情報セキュリティの重要性

すべての企業には、適切な情報セキュリティを実施する「社会的責任」があります。金銭・物品以外にも重要な価値をもつものとして「情報」が挙げられ、この情報を守ることが社会的責任を果たすために直結する行為となります。

2003年に施行された「個人情報保護法」では事業者が個人情報の保護や安全管理措置を適切に管理監督することが義務付けられているため、国からの命令に違反すると罰金が課せられるおそれがあります。万が一情報漏えいを起こしてしまうと、顧客やユーザーは危機感を抱くようになります。SNSなどのソーシャルメディアによって漏えいの事実が知れ渡ると取引の打ち切りや顧客離れが続き、事業活動が継続できなくなるなど、企業の存続を揺るがす可能性も。

近年、問題視されているものが「サプライチェーン攻撃」です。企業のサプライチェーン（供給網）を狙うサイバー攻撃のことで、ターゲットの企業ではなくその取引先を踏み台にしてから攻撃するという手法が使われます。サプライチェーンの頂点にいるような大企業はセキュリティが高いので、周辺の中小企業や隙のあるところから狙います。

たとえば、ソフトウェア開発企業の開発中の製品にマルウェアを侵入させて、ターゲット企業がそのソフトウェアを使用することで、マルウェアに感染させます。また、ターゲットの関連企業や取引先に侵入してからターゲット先企業の専用ネットワークに侵入し、機密情報の盗み出しをはかる方法もとられています。

企業は顧客・ユーザー・取引先・社員・スタッフの個人情報など、外部に漏れ出してはならない重要な情報を多数保有しているため、それらを守ることが信頼の構築に繋がります。重要な情報を扱っている企業ではこうした犯罪が繰り返し行われるおそれがあるため十分に警戒し、関連企業、子会社、協力会社、取引先などにも情報セキュリティ対策を求めていかなければなりません。

企業のセキュリティリスク

企業側のセキュリティリスクとしては、不正アクセスやマルウェアの被害に遭うと情報の流出が起きるおそれが高まります。情報流出による顧客や取引先への損害、さらには業務・事業の停止、直接関わりのある顧客や取引先の離脱、全体的な社会的信用の失墜、第三者によるサイトや情報の改ざん、企業から別の企業へのサイバー攻撃の踏み台にされるおそれもあります。

このようなリスクを放置しておくことは企業にとって望ましくありません。顧客情報を漏えいさせるだけでも損害賠償を請求されるおそれがあり、被害が甚大であるほど多額の損失を受けることになります。損害を受けたネットワークやサーバーをチェックしたり、データやサイトを復旧させたりする際にも費用がかかります。

損害の程度を見極めるのは企業側だけではなく、株主などからも客観的に判断をされるため、株価への悪影響も考えられるでしょう。また、サイバー攻撃の踏み台にされた場合には、被害にあった企業から損害賠償請求される可能性もあります。

企業の情報セキュリティ対策

重要情報がどのような経路で狙われるかを考慮したうえで、どこにどれだけの予算をかけるかを算出します。

企業の経営責任、情報の適切な管理監督を行うためにも、セキュリティ対策の担当者だけに任せるのではなく、経営者自身も自ら情報セキュリティに意識を高く持たなければなりません。経済産業省と独立行政法人情報処理推進機構（IPA）が策定した「サイバーセキュリティ経営ガイドライン」がありますので、確認しておくと良いでしょう。

必要な対策や範囲を網羅したうえで、関係者と連携し組織的に対策を実施します。経営者側がセキュリティ対策の重要性を認識したうえで、対策の取り組みを随時担当者に指示していく必要があります。

効果的なセキュリティ対策を行うためには、資格や技術をもつ人材を集めて組織を作るところから始めましょう。また、それらの人材が最新の技術的対策を実施できるように定期的な勉強会や外部の勉強会への参加を奨励し、従業員教育を実施します。

従業員教育には、社内の内部から不正を働いたり、不用意に情報を持ち出して漏えいさせたりする事故を防ぐ意味もあります。社内では、情報を容易に持ち出したり盗み取られたりしないために、安全な場所へ機器や文書を保存する物理的対策も行いましょう。

企業は社会的責任としてあらゆる情報を保護しなければなりません。万が一情報の保護を怠り漏えいや改ざん被害に遭ってしまうと、情報セキュリティ対策を実施しきれていないと判断され、顧客や取引先からの信頼を失う可能性もあります。セキュリティ管理者だけではなく、経営層や上層部もセキュリティの重要性をよく理解し、早期に適切な対策を行いましょう。