株式会社エコー・システム

業務のデジタル化が進み、あらゆる企業がネットワークでつながっている現在、悪意ある者からの不正アクセスやマルウェアによるサイバー攻撃は、大企業だけでなく、大企業の子会社、関連会社や、大企業と取引のある中小企業（サプライチェーン）へと広がっています。

大企業の多くは、サイバー攻撃に備えて防御を固めており、攻撃や侵入は容易ではありません。そこで悪意ある者は、防御が比較的手薄な中小企業を狙い、そこで入手した情報をもとに、大企業にビジネスメール詐欺を仕掛けたり、ランサムウェアに代表されるマルウェア感染を狙った不正なメールを送るなどして、金銭的利益を得ようとしているのです。

独立行政法人情報処理推進機構（IPA）が発表した「情報セキュリティ10大脅威2022」においても、「サプライチェーンの弱点を悪用した攻撃」は、前年より順位を1つ上げ、第3位にランクインしています。

またその手口について、「令和3年警察白書」は、「ソフトウェアやシステムの脆弱性を悪用した攻撃」「標的型メール攻撃を通じた不正プログラム感染」が多数発生しているとしています。

つまり、サイバー攻撃への対策としてのセキュリティ強化は、業種や企業規模を問わず、中小企業においても喫緊の課題なのです。

このページのトップへ

こうした攻撃によりマルウェアなどに感染すると、感染範囲の調査費用、復旧費用、事業の中断にともなう損失など、多くのコストがかかります。さらに感染により、取引先など第三者に被害がおよんだ場合、その損害の賠償を求められる可能性もあります。

NPO日本ネットワークセキュリティ協会（JNSA）が発行する「インシデント損害額調査レポート2021」が挙げる「従業員がメールに添付されていたファイルを開いたところ、マルウェアに感染した」という事例では、事故原因・被害範囲を調査するための費用に500万円、再発防止策としてメールフィルタリングサービスの導入に100万円、合計600万円の被害額が報告されています。

そして同レポートでは、インシデントレスポンス事業者へヒアリングした事故原因・被害範囲調査費用として、PCとサーバー数台程度でもおおむね300～400万円が必要で、マルウェア感染が拡大するなど大規模な被害になれば、その費用は数千万円に拡大する場合もあるとしています。

また一般社団法人日本損害保険協会の「国内企業のサイバーリスク意識・対策実態調査2020」では、これまでにサイバー攻撃の被害を受けた会社は大企業で17.1％、中小企業でも11.4％で、その被害額が100万円以上となったのは大企業で15.9％、中小企業で12.7％と、被害の可能性、被害額は企業規模を問わないことが明らかになっています。

このページのトップへ

これらの調査結果は被害を認識している企業のものであり、被害が発生しなかった企業、攻撃や被害に気づいていない企業も含めると、ほぼすべての中小企業になんらかのサイバー攻撃が行われています。

そしてその被害と企業規模によっては経営の行方を左右する問題にも発展するのです。

こうしたサイバー攻撃による被害を防ぐためには、「メールの添付書類の取り扱いに気をつける」「メールにあるリンクを無造作にクリックしない」といった、従業員のセキュリティ意識を高める教育が第一であることは言うまでもありません。しかし人に頼ったセキュリティ対策は、個人の資質によりその効果が左右されるほか、ヒューマンエラーの発生は防げません。さらに悪意ある攻撃者の手口は年々巧妙になっていることから、人に頼らない、ソフトウェア的な対策が、より重要となっています。

このページのトップへ

では具体的なソフトウェア的対策は、どのように進めるべきでしょうか。以前は社員が使う端末（エンドポイント）にセキュリティソフトを導入し、定義ソフトをアップデートしながら使うことが一般的でした。

しかし昨今はコロナ禍により加速したテレワーク、タブレットやスマートフォンを含んだエンドポイントの多様化で、そうしたアップデートを社内で一括管理することが難しくなってきています。

さらに業務でのクラウド活用が拡大したことで、エンドポイントを経由しないファイルのやりとりや共有が一般化し、エンドポイントの防御だけではマルウェアなど不正なファイルの検出は困難となっています。つまり、少なくともエンドポイントとクラウドの多層防御を想定したセキュリティ対策の実施が求められているのです。

そこで最低限実施すべき多層防御のソリューションとして、NTT Comの「マイセキュア ビジネス（以下MSB）」「Cloud App Security（以下CAS）」「セキュリティサポートデスク（以下SSD）」をご紹介します。

このページのトップへ

MSB（図1）はクラウド参照型の次世代エンドポイントセキュリティです。定義ファイルを端末側に置いてパターンマッチングをする従来型とは異なり、クラウド上の脅威データベースを参照するため、常に最新の脅威情報を参照するかつ、定義ファイルの管理も不要になります。未知の脅威に対しては、振る舞い検知の実施、また、未知の脅威が実行したものをリカバリーし、安全な状態へ復旧するロールバック機能など最先端の防御機能が搭載されております。

CAS（図2）は「Microsoft365」「Box」「Dropbox」「Google Workspace」など、ビジネスシーンで一般的に使われるクラウドサービスを網羅的に監視するセキュリティサービスで、社外に置かれるメールやクラウド共有ストレージデータのセキュリティを強化します。各クラウドサービスとはAPI連携するため、DNSの切り替えや、メールフローを変更する必要はなく、導入が大変スムーズです。

またサンドボックス機能による標的型メール攻撃対応や、メール本文やファイル内を検索するキーワード検索機能を利用することで、情報漏えい対策が可能となります。

ただ、こうした多層防御のために複数のセキュリティサービスを利用すると、各サービスのアラート対応や必要に応じた設定変更ための専門知識が必要となり、社内の限られたリソースでは対応が困難となります。これらの課題を解決するのがSSDです。

SSD（図3）はセキュリティに関する総合窓口として安心をお客さまにご提供するサービスです。MSB／CASといった各層のセキュリティサービスのアラートについての不明なことがあれば、24時間365日、セキュリティの専門家に相談が可能です。

さらに万が一インシデントが発生した場合も、年中無休の電話サポート機能により初動対応を支援します。さらに、インシデントで発生した損害賠償費用や弁護士費用、調査費用、などは基本機能に含まれるサイバー保険により最大3,000万円まで幅広く補償されます。

ここでご案内したNTT Comのセキュリティ対策サービスは、1IDからのライセンス数でも利用可能で、ご利用いただきやすい料金設定であることも特長です。御社のセキュリティ対策に、ぜひご検討ください。

このページのトップへ

このページのトップへ

このページのトップへ

このページのトップへ

悪意ある者によるサイバー攻撃は、日に日にその手口が巧妙化しています。そのため、人的、ソフトウェア的、設備的にあらゆる対策を講じても、その被害を完璧に抑えられるとは言い切れません。そうした“万一の事態”に備えるのが、サイバー保険です。

NTT ComのSSDには東京海上日動火災保険株式会社が提供するサイバー保険を基本機能として提供しており、サイバー攻撃を受けて万一情報漏えい事故が起こってしまった場合には、最大3,000万円（損害賠償責任に関する補償：最大2,000万円/各種費用に関する補償最大1,000万円）をサイバー保険で補償します。

このページのトップへ

経済産業省が企業向けにまとめたセキュリティ対策「サイバーセキュリティ経営ガイドライン Ver.2.0」では、セキュリティ対策の実施を「コストと捉えるのではなく、投資と捉えることが重要」とした上で、「セキュリティ対策の予算や人材等の確保」や「サイバー保険を使ったリスク移転」を挙げています。この「人材」「保険」という観点からも、SSDをお選びいただくお客さまが増えています。

このページのトップへ