サイバー攻撃から会社を守るために、本当に大切なこと

最近、日本国内で企業がサイバー攻撃を受けたというニュースを頻繁に目にします。大企業でも被害に遭い、業務が停止したり、お客様の情報が流出したりする事態が報じられています。こうしたニュースを見るたびに、私はこれまで訪問してきた企業のことを思い出します。

ルーターは、設置して終わりではありません

私はこれまで、大手通信事業者やIT企業からの依頼を受け、さまざまな企業で業務用ルーターの設置や交換作業に携わってきました。（ルーターとは、社内のパソコンなどをインターネットにつなぐための機器です。）

訪問先の多くの企業では、ルーターを設置するだけでなく、その後も専門の事業者が機器の状態を監視し、保守する仕組みが整えられています。故障してから交換するのではなく、古くなった機器を計画的に新しいものへ入れ替える企業もあります。

そして、私がこれまで設置に携わった企業の名前を、サイバー攻撃の被害報道で見かけたことがありません。もちろん、ニュースになっていないからといって、攻撃を受けていないとは限りません。それでも、こうした企業の取り組みには、共通する大切な考え方があると感じています。

高価な機器を購入するだけでは、会社を守れません

セキュリティ機能の充実したルーターを導入すれば、それで安心だと思われるかもしれません。しかし、どんな機器でも、使い続けるうちにセキュリティ上の問題が発見されることがあります。そのため、導入後も適切な管理が必要です。

例えば、次のようなことです。

機器が正常に動いているか確認する
セキュリティ上の問題が見つかったら対応する
必要に応じて機器の設定やソフトウェアを更新する
古くなった機器を適切な時期に交換する

これらは、機器を購入しただけでは実現できません。

大切なのは、機器そのものだけでなく、誰が責任を持って管理を続けるのかということです。

サイバー攻撃を防いだ企業は、ニュースになりません

サイバー攻撃のニュースでは、被害を受けた企業の名前や被害額が大きく取り上げられます。一方、攻撃を受けても被害を防ぐことができた企業の取り組みは、ほとんど報道されません。専門の事業者による監視や保守が、被害の防止や早期発見に役立っている場合もあるでしょう。もちろん、監視や保守があれば絶対に安全というわけではありません。しかし、問題が起きてから対応を考える企業と、日頃から備えている企業とでは、対応できることに違いが生まれます。

私は、企業のセキュリティ対策とは、高価な製品を購入すること以上に、安全な状態を維持するための仕組みに投資することだと考えています。

中小企業でも、管理する人や相談先を決めておくことが大切です

大企業には、社内のパソコンやネットワークを管理する「情報システム担当者」がいることが一般的です。一方、中小企業では、社長や事務担当者がパソコンの管理を兼任していることもあります。もちろん、すべての企業が専門の社員を雇う必要はありません。社内に専門担当者がいなくても、外部のIT事業者と継続的な保守契約を結ぶなど、管理する仕組みを整える方法があります。

大切なのは、何かあったときだけ業者を探すのではなく、普段から相談できる相手や管理の責任者を決めておくことです。

当社が、情報システム担当者のいない企業からの単発依頼をお受けしない理由

当社では、法人向けにパソコンやネットワーク機器の設置・交換など、現地での作業を行っています。ただし、情報システム担当者や担当SE（システムエンジニア）がいない企業からの単発（スポット）のご依頼は、お受けしておりません。

これは、企業の規模やITに関する知識の有無で判断しているわけではありません。パソコンやネットワーク機器は、設置した後も継続的な管理が必要だからです。

そのため、次のような場合は対象外となります。

経営者や事務担当者が、通常業務のかたわらパソコンやネットワークを管理している場合
パソコンに詳しい社員が、専門のSEに代わって作業を指示する場合
機器の設定マニュアルや、メーカーのサポートセンターから案内された手順だけをもとに作業を依頼する場合
設置後の管理責任者や、障害発生時の対応体制が明確でない場合

上記のケースの場合において、当社では、ネットワークの設計、設定内容の作成、導入後の継続的な監視・保守は行っておりません。

専門の担当SEによる技術的な管理と作業指示があり、当社はその指示に基づいて現地作業を行う。この役割分担を、法人向けサービスの基本方針としています。企業の規模にかかわらず、設置作業とその後の管理について、責任の所在が明確であることを大切にしています。

セキュリティ対策は、一度きりの作業ではありません

サイバー攻撃は、大企業だけの問題ではありません。

中小企業であっても、
取引先の情報やお客様の個人情報など、
守るべきものがあります。

高価な機器を導入することだけが、セキュリティ対策ではありません。
今使っている機器を誰が管理しているのか、問題が起きたら誰が対応するのか。

まずは、そこから考えてみてはいかがでしょうか。

投稿者プロフィール

札幌スタッフ