2024年度は大きなサイバー攻撃が続いております。
2024年5月にJR東日本へのサイバー攻撃により交通系ICサービスのモバイルSuicaが繋がりにくくなる障害が発生。
2024年6月にKADOKAWAが運営する動画サイト「ニコニコ動画」への大規模サイバー攻撃によりニコニコ動画だけではなく複数のシステムで障害が発生。
日常生活にも支障をきたす問題になっており、サイバー攻撃を受けた企業の株価も下げております。
中小企業も人ごとではありません。警視庁では、通常のインターネット利用では考えられない通信（サイバー空間で脆弱性の探索行為などを無差別に行った悪意がある可能性が高い通信）の検知数を集計しております。
【参考】警視庁 – サイバー空間をめぐる脅威の情勢等
https://www.npa.go.jp/publications/statistics/cybersecurity/
その数値は、右肩上がりに増え続けており、令和５年は１日9,144.6件（年換算だと約334万件）となっていて今後も増えると見られています。
この「悪意がある可能性が高い通信」には、海外を送信元とするアクセスが高い割合を占めている特徴があります。
つまり、日本は海外から狙われているのです。では、なぜ日本が狙われるのでしょうか？
それは日本が「サイバー攻撃の検知」「ソフトウェアの虚弱性対策」が主要国と比べても【遅い】ためです。つまり、海外のハッカーから見ると日本はサイバー攻撃の防衛力が低いため狙われやすいのです。
特に日本の中小企業は以下の理由から狙われる存在になってます。
この様な理由から大手企業ではなく、商品が生産され消費者に届くまでの一連の流れ（サプライチェーン）に属する、中小企業を標的とした「サプライチェーン攻撃」が増えております。
他にも、ウィルスを仕込んだメールを不特定多数に送付し、感染したパソコンからメールアドレスやメール本文を盗み出す「ばらまき型攻撃」。
ばらまき型攻撃で盗み出した情報から返信メールに偽装し添付ファイルを開かせて感染させる「返信型攻撃」。
これらも中小企業で流行を繰り返しています。（この様にメールの添付ファイルを介して感染を広げていく手口はEmotet（エモテット）と呼ばれます）
もし、何気なく開いたメールで自社のパソコンがウィルスに感染し、意図せず取引先にもウィルスメールを送信して感染させてしまった場合、自社が被害を受けるだけでなく、顧客や取引先にも損害を与え、企業は様々な不利益を被ってしまいます。
特に「金銭の損失」はサイバー事故の内容によっては数百万あるいは数千万円の損害が発生する可能性があり、経営にとって大きなダメージとなります。また、他の不利益も同時に発生するため、会社の存続が危ぶまれる事態になりかねません。
では、サイバー攻撃によって想定される金銭的な被害（想定損害額）はどの程度になるのでしょうか？
この金額が一定明らかにならないと情報セキュリティ対策に必要な適切な予算が組めません。
そこで、情報処理推進機構（IPA）は2023年1月20日に情報セキュリティ関連費用の可視化をサポートするお助けツール「NANBOK」（Next-generation-scenario in Assembled Notes for security administrator with Bill calculator Optimized by Kawamura model）を公開しました。
このツールでは「予算を割振りする経営者側」と「セキュリティの担当者」が抱える以下の様な問題点を解消するために作成されたツールです。
情報処理推進機構（IPA）- セキュリティ関連費用の可視化（お助けツール「NANBOK」）
https://www.ipa.go.jp/icscoe/program/core_human_resource/final_project/visualization-costs.html
このツールでは、業界や従業員人数、そしてインシデント発生時の想定シナリオ（質問への回答）を入力する事で、IPA「情報セキュリティ10大脅威2022」 に関わるインシデントが発生した場合の想定損失額が算出されます。
想定損失額は以下の内訳毎に表示され、それぞれの説明もあるため、自社が認識していなかったリスクや対応の洗出しにも役立ちます。
＜想定損失額の内訳＞
本ツールでは客観性を担保するために、以下の公的機関が公開している情報を元に計算がされています。これなら経営側も納得行くのではないでしょうか？
| 情報 | 情報源 | 発信者 | LINK |
|---|---|---|---|
| 脅威の種類 | 情報セキュリティ10大脅威 2022 | 独立行政法人情報処理推進機構(IPA) | ■ |
| 損害費用の区分 | インシデント損害額調査レポート 2021 | 特定非営利活動法人日本ネットワークセキュリティ協会(JNSA) | ■ |
| セキュリティ対策の導入状況 | 企業IT利活用動向調査2022 | ⼀般財団法⼈⽇本情報経済社会推進協会(JIPDEC) | ■ |
結果的に合計想定損害額は２３０万円！！！
従業員数やインシデント発生時の想定シナリオ（質問への回答）によっては想定被害額が５００万円以上になることも！！
この様にサイバー攻撃の被害にあうと大きな損害が発生するリスクがあります。こうしたリスクから、身近に発生するリスクまで、全ての対策をするとコスト負担が大きくなってしまいます。
また、システムの脆弱性を突く新しい攻撃方法が日々生み出されているため、セキュリティ対策を万全にしてリスクを極小化してもゼロには出来ません。
そこで重要なのは「リスクマネージメント」です。自社で発生する可能性があるリスクを洗い出し、仮に事故が発生した際の影響度や事故が発生する確率や頻度からリスクを分析・評価します。
その上で、リスクに対する具体的な対策を検討します。
例えば「メールの誤送信」のリスクを【発生確率：低】【影響度：小】と判断した場合は、リスクを保有（許容）となり『メール誤送信後の対応手順を作成する』ことで、「メール誤送信が発生しても許容して手順書通りに対応する」が対策となります。
「メールの誤送信」のリスクを【発生確率：高】【影響度：小】と判断した場合は、リスクを低減するとなり『メール誤送信防止ツールを導入』してリスク低減をする事が対策となります。
では、「サイバー攻撃による業務停止」や「盗難されたパソコンから個人情報が流出」はどうでしょうか。これらのリスクについてセキュリティツールの導入など各種対策を行うのは当然ですが、【発生確率：低】のにも関わらず【影響度：大】のためリスクの移転『サイバー保険』が有効です。
サイバー保険の説明は以下の記事で書いておりますので、こちらをご覧ください。
経済産業省とIPA（独立行政法人 情報処理推進機構）が策定した「サイバーセキュリティ経営ガイドライン」では、『セキュリティ対策の実施を「コスト」と捉えるのではなく、将来の事業活動・成長に必須なものと位置づけて「投資」と捉えることが重要』と明言されており、サイバー保険の活用も対策例として記載されています。
サイバーセキュリティ対策への取り組みは、今や企業の社会的責任（CSR）の１です。サイバー保険の加入検討をキッカケにリスクの見直しやセキュリティ対策が行われるのであれば、それは結果的に企業価値の向上に繋がります。
もし、保険料の負担が経営を圧迫しないのであれば、加入を優先して、加入後にセキュリティ対策をするのも一案です。保険料（掛け金）が高いと感じる場合は、業界や地域の団体保険への検討をオススメします。
新型コロナウィルスの対策は、「手洗い・マスク・こまめな換気」が基本である様に、サイバーセキュリティ対策も、日常業務の中で「基本的な対策を徹底する」ことが大切です。そして、万一、感染してしまった場合の連絡先や対応手順、そして保険対応を準備しておくこと。それが会社を守る事になります。
是非サイバー保険の導入をご検討してみてください。
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━+
弊社では皆様のお役に立てるメルマガを毎月１回配信しております。
ご希望の方は下記よりご登録ください！
企業のリスクを題材としたメールマガジンの申込はこちら
https://www.gripletter.jp/regist_newsletter.php?dname=Safety-i
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━+
