中小企業がサイバー犯罪の被害を被った事例について、「デジタルフォレンジック事業」を推進するアスエイト・アドバイザリー株式会社 代表取締役 田中 大祐 氏にお話しを伺いました。
記者：そもそも「デジタルフォレンジック」とは何ですか？
田中：一般的にあまり耳にすることがない「フォレンジック」とは、「法廷」に関することを意味する言葉です。デジタルフォレンジックとは、不正アクセスやデータ改ざん、遠隔操作などのサイバー犯罪に対して、証拠の保全と分析を行うことです
記者：中小企業からの相談割合はどれくらいありますか？
田中：弊社に寄せられる相談の半数以上は中小企業です。セキュリティ対策に不備があった企業様がほとんどです。
記者：具体的にはどのような相談を受けているのでしょうか？
田中：大きく二つに分けると「サイバー攻撃」と「社員による意図的な情報漏洩」です。サイバー攻撃の場合は、 WEBサイトが改ざんされたり、ECサイトからクレジットカード情報が引き抜かれたりと様々です。これらの被害について、サーバーのログ、セキュリティツールのログ解析をして「いつ」「どのように」起こったのか、また「漏洩した情報」の確認を行います。社員による情報漏洩の場合は、他の社員からの通報や取引先からの連絡で発覚することもあります。
記者：中小企業のセキュリティ対策は甘いと言われますが、これは本当ですか？
田中：やはり甘いですね。何もやっていない会社もたまに見受けられますが「セキュリティツールだけをなんとなく入れているだけ」という会社が多いように感じます。「セキュリティツールを入れる目的を理解していない」「業者に言われるがままに入れただけで放置している」「更新していない」など、そもそも、セキュリティツールで何ができるか理解していない担当者も多くいらっしゃいます。会社の業務に適したセキュリティ対策の運用ができていなければ、サイバー攻撃や情報漏洩を防ぐことはできません。
記者：なぜ、セキュリティツールの運用がうまくいかないのでしょうか？
田中：「エンドポイントセキュリティ」という言葉をご存じでしょうか。エンドポイントとは「末端」や「終点」を意味します。つまり、PC、スマートフォン、タブレットなどの端末機器を指します。これらに保存している情報をサイバー攻撃から守るのが、エンドポイントセキュリティです。
このエンドポイントセキュリティの具体例を申し上げると、例えば、アラートが出るとログが上がって来ますが、実は「担当者が見ていない」ことが多いのです。そもそも、セキュリティソフトは、攻撃の検知の取りこぼしをなくすためにアラートを広く取ることが多いので、担当者がアラートに見慣れてしまい「本当に必要なアラート」を見逃してしまうのです。
記者：狼少年のような状況になってしまうわけですね。会社に適したセキュリティ対策ができていないとはどういうことですか？
田中：例えば、社外とコンタクトを取る必要がある営業社員が社内には少ないのに、メールを送るのに何重も承認が必要なセキュリティツールを入れているケースです。エンドポイントにしても、外部にパソコンを持ち出さない内勤社員のPCにエンドポイントセキュリティを入れても意味がありませんよね。エンドポイントセキュリティを入れる目的は、サイバー攻撃から守ることもありますが、USBを差してログをとったり、使用制限をしたりするためにあったりします。
無駄なコストをかけないためにも、個々のセキュリティ機能の必要性を検討する議論が必要です。内勤業務が主体の会社によっては、エンドポイントセキュリティではなく、サーバーのファイアウォールに力を入れるべきです。セキュリティの運用には、「可用性」（稼働にどこまで影響を与えるのか）、「機密性」（機密がきちんと守られているのか）、「完全性」（セキュリティ範囲の網羅性）のバランスが必要です。
記者：中小企業がサーバー攻撃に狙われて被害を被った事例について教えてください。
田中：1つ目は、サイバー攻撃によって顧客の個人情報が外部に漏洩してしまったA社の事例です。A社は保険にも加入していなかったこともあり、数千万円の損害賠償金が発生しました。更には、セキュリティやサーバーの入れ替え費用、弁護士費用、当社のサイバー調査費用、顧客対応のためのコールセンター設立など総損害額は1億円以上となり、A社の経営は、すっかり傾いてしまいました。
2つ目は、社員が機密情報を持ち出したB社のケースです。社員が会社PCから機密情報をUSBに入れて持ち出した事例です。当社は当該USBの復元、個人PCの調査を担当しました。実務的には、弁護士と一緒にいきなり社員の自宅に乗り込み、携帯、USB、パソコンなどありとあらゆる媒体を押収し証拠を特定します。詳細は申し上げることができませんが、データを持ち出した社員には数千万円の調査費用と会社への賠償金が発生することになると思います。
記者：どんなところにリスクが潜んでいるのでしょうか？
田中：「うちの会社なんかがサイバー攻撃を受けるわけがない」という甘い認識が一番のリスクと言えるかもしれません。上場会社は株主への説明責任もあるので、問題が起きれば責任が問われるので強固な対策が必要です。しかし、中小企業はその意識が薄く、経理社員が2000万円横領しても勉強代と割り切った社長も見てきました。
社長も担当者も「何かが起きないと自分ごととしてリスクを感じない」ことが多いです。しかし、サイバー攻撃はセキュリティの甘い中小企業こそ狙ってきます。何かが起こってからでは遅いのです。
企業に対するサーバー攻撃は、メディアで報じられないことがほとんどです。そうしたこともあって、なかなかセキュリティに対する意識が変わっていかない。これは知っておいて欲しいのですが、サイバー攻撃は「突然なされるものではなく、常に攻撃されている」ということです。ログを見ればその事実を目の当たりにするはずですよ。
記者：日常では、どのようにセキュリティ対策と向き合うべきでしょうか？
田中：まず、サイバー攻撃や情報漏洩は「起こることが当たり前」の世の中であることを認識してください。「何かが起きた時にどうしたらいいのか？」を社内で共有しておくことが重要です。
サイバー攻撃された場合であれば「誰に報告するのか」「いつ警察に連絡するのか」「保険に加入しているのか」など、シミュレーションしておくことをお勧めします。
