「中堅・中小企業のサイバーセキュリティについて
エキスパートが語る
～経営者と現場に今求められること～」（3）

やはりその企業が営む事業にとって「重要な業務」「リスクの高い部門」「クリティカルなシステム」を特定して、そこに対してまずは重点的にリソースを投入するべきです。しかし日本企業の場合、これを行うのはなかなか難しい面があります。例えば4つの事業部がある企業で、とある事業部に対して優先的にセキュリティ投資を行うとなると、他の3つの事業部のモチベーションが下がってしまうようなことが往々にして起こるのです。

やはりその企業の経営者が勇気をもって決断し、他の事業部を納得いく形で説得する必要があります。「我が社は経営課題に全社一丸で取り組んでいるけど、この事業部の活動が万が一止まってしまうと会社が存続できなくなってしまう」「従って、まずはこの事業を優先的に守る必要があるので、皆にも協力してほしい」。こういうことをしっかり伝えることこそが、経営者の務めだと思います。もちろんそのためには、経営者が自社の事業を正確に把握し、心の中では既に優先順位を付けていることが大前提になります。

このように、企業が真に対処すべきなのは実はサイバー攻撃ではなく、事業やシステムが停止してしまうことに伴う事業停止リスク、つまり「ビジネスリスク」なのです。セキュリティ製品・サービスの導入はあくまでも手段に過ぎず、本来の目的はビジネスリスクの管理だということを、経営者は今一度肝に銘じるべきだと思います。

やはり先ほども申し上げたように、「重点化」がポイントだと思います。社内に存在するありとあらゆるデータを隈なく整理するというのは恐らく不可能でしょうから、もし万が一盗まれたり改ざんされたり、あるいはランサムウェアに暗号化されてシステムが機能停止してしまっては絶対に困る「コアのデータ」を特定して、これらを重点的に監視・防御することが重要です。

そのためには繰り返しになりますが、経営者や経営幹部が「自社にとって重要な情報は何か？」ということを考える必要があります。これらの立場の人たちにシステムの専門知識は決して必要ではありませんが、情報・データは今や極めて重要な経営資源なのだということは、大前提としてきちんと認識しておかなくてはなりません。

IT系の企業ほど知識があるため各部門で独自にシステムを構築する傾向が強く、その結果データも部門ごとにサイロ化してしまいがちですね。またそうした企業では得てしてセキュリティ対策も部門独自の判断で行っていることが多く、対策レベルがバラバラだったりします。そうした場合には、まず各部門でどのような対策が行われているかをいったん整理しお客様と相談の上、全社で担保すべき「基準レベル」を定めます。

その上で、既存の対策をなるべく生かしながら、基準レベルとの差分を最小限の投資で埋めるための提案を行っています。セキュリティ対策には「これさえ入れればOK！」という万能薬は存在しませんから、決まったものを押し付けるのではなく、お客様の現状の仕組みをなるべく生かしながら余分な投資を抑えた提案を心掛けるようにしています。