中小企業の情報漏えい、経営者はどこまで「自分ごと」にできているか

情報漏えいのニュースを見るたびに、少し引っかかることがあります。
取り上げられるのは、ほとんどが名の知れた大企業ばかりだということです。

ニュースにならない情報漏えいは、もっと身近にあるはずです

ここ最近、企業からの情報漏えいが本当に増えました。顧客情報、取引先の連絡先、社員の個人情報。毎週のように、どこかの会社の名前と「お詫び」の文字を目にします。

ただ、ニュースになるのは、規模が大きく名前の知られた企業がほとんどです。大企業には専門の部署があり、異変に気づく仕組みも、公表して謝罪する体制も整っています。だからこそ表に出てくる、という面もあるのだと思います。

でも、狙われているのは大企業だけではありません。むしろ守りが手薄な中小企業のほうが入り込みやすい、と考える攻撃者も少なくないはずです。名前が出ないだけで、同じようなことは今、全国のあちこちで起きているのだと思います。

もうひとつ気がかりなことがあります。情報が漏れていることに、まだ気づいていない企業やWebサイトの管理者が、実はたくさんいるのではないか、ということです。

「うちは大丈夫」の根拠は、意外とあいまいです

前回の記事では、WordPressの重大な脆弱性について、当社の考え方と保守サポートの取り組みをお伝えしました。

ただ、すべてのWebサイトがWordPressで作られているわけではありません。独自に作り込んだシステムや更新の止まったCMS、そして10年、20年前に作った基幹システムを、今もそのまま使い続けている企業も多いと思います。

たしかに、毎日問題なく動いているシステムを見ると「うちは大丈夫」と思いたくなります。でも、よく考えると「動いている」と「安全である」は、まったく別の話。

情報漏えいが厄介なのは、起きていても目に見えにくいところです。気づきにくい理由を整理してみると、次のようになります。

こうして並べてみると、「何も起きていない」のではなく、「何か起きていても分からない状態」になっている可能性が見えてきます。

10年前、20年前には十分だった作りも、今の攻撃手法から見れば、鍵をかけ忘れた裏口のようなものかもしれません。当時の作り手が悪かったわけではありません。インターネットの世界が、それだけ速く変わってきたということです。

さらに見落とされがちなのが、取引先とのつながりです。

最近は、大企業を直接狙うのではなく、セキュリティの手薄な取引先を足がかりにして入り込む手口も増えています。これはサプライチェーン攻撃と呼ばれるものです。そうなると、自社が被害者になるだけでなく、大切なお取引先への入口になってしまうおそれもあります。

自社サイトが「加害者の道具」にされることもあります

もうひとつ、ぜひ知っておいていただきたいことがあります。

「うちのWebサイトには、漏れて困るような情報は載せていない」。たしかに、会社案内とお問い合わせフォームくらいのサイトであれば、そう感じるのも自然だと思います。

でも、狙われるのはサイトの中にある情報だけではありません。脆弱性を突かれて、サイトそのものに悪意のある仕組みを仕掛けられることがあるんです。

たとえば、次のようなケースです。

こうした仕掛けの入口としてよく使われるのが、XSS（クロスサイトスクリプティング）やSQLインジェクションと呼ばれる攻撃です。古いシステムや、更新されていないWordPressのプラグインなどに弱点が残っていると、そこを突かれてしまいます。

怖いのは、見た目はいつもどおりのサイトのままで、こうしたことが起きる点です。運営している側は何も気づかないまま、自社サイトが訪れてくださったお客様の情報を抜き取る「踏み台」になってしまう。

そうなると、自社は被害者であると同時に、お客様に被害を与えた側にもなってしまいます。

私は、ここが本当に危機的な状況だと感じています。

いちばん危ないのは「対策しといて」の一言かもしれません

そうした状況のなかで、私がいちばん問題だと思っているのは、技術的な弱点そのものよりも、社内での任せ方です。

よくあるのが、社内でパソコンに少し詳しい方に「最近、情報漏えいが多いらしいから、うちも対策しといてよ」とお願いするパターンです。

一見すると、きちんと手を打っているように見えます。でも、任された担当者の方も、セキュリティの専門家ではないことがほとんどです。できることといえば、ネットで見つけたチェックツールを試してみたり、詳しそうな会社に相談して、そこへまた作業をお願いしたり。担当者の方にとっても、それ以外の方法を取りようがないのだと思います。

ちなみに、無料のチェックツールで「問題なし」と出たとしても、それは「そのツールが調べた範囲では問題が見つからなかった」というだけのことです。サーバーの設定や古いプログラム、社内のパソコンの状態まで見てくれるわけではありません。それでも結果の画面には「問題なし」と表示されるので、安心してしまいやすいんですよね。

その結果、何が起きるか。

丸投げが重なるたびに、責任の所在がどんどんあいまいになっていくわけです。

そして漏えいが起きたとき、初めてその穴が表に出ます。説明の場に立つのは経営者ですが、何が起きたのか、どこまで対策していたのかを誰も把握できていない。対応が遅れ、説明が二転三転し、炎上してしまう。

長い時間をかけて積み上げてきた信用が、そんな形で崩れてしまうのは、本当にもったいないことです。

では、どうすればいいのか。

私は、日々のメンテナンスを続けながら世の中の動きをキャッチし、バックヤードで地道に対策を続けている企業とパートナーを組むことが、ひとつの答えだと考えています。単発の作業を頼む相手ではなく、継続して状況を見てくれる相手です。

もしくは、そうしたことができる人材を、時間をかけて社内で育てていくこと。

どちらを選ぶにしても、大切なのは「任せたら終わり」にしないことだと思います。

経営者の方が、技術的なことまで詳しくなる必要はありません。ただ、次のような問いに、ご自身の言葉で答えられるかどうかは、一度確かめてみる価値があると思います。

もし答えに詰まるところがあれば、そこが今、いちばん手を入れるべき場所なのかもしれません。

情報漏えいは、システムではなく経営の問題です

今回の記事は、「当社にご相談ください」とお伝えしたいわけではありません。

お伝えしたいのは、中小企業を取り巻く情報セキュリティの状況が、今かなり危うくなっているということ。そしてそれを、経営者の皆さんがどこまで認識されているか、ということです。

セキュリティは、一度整えたら終わりというものではありません。昨日まで安全だったものが、新しい脆弱性の発表ひとつで、今日から危険なものに変わることもあります。だからこそ、日々の小さな積み重ねと、それを見守る体制が欠かせないのだと思います。

情報漏えいは、担当者だけの問題ではなく、会社の信用そのものに関わる経営の問題です。

次に漏えいのニュースを目にしたとき、「大企業の話」としてではなく「自社だったらどうなるだろう」と、少しだけ立ち止まって考えてみていただけたらうれしいです。