【DX】みんなの困りごとの話⑩ ～ 中小企業のセキュリティ対策はルールと教育が重要 ～
DATE26.08.14
皆様、こんにちは。資格の学校TACで、DX経営アドバイザー検定試験の対策講座講師（実践編）を担当している、中小企業診断士・ITコーディネータの木佐谷康です。
みんなの困りごとシリーズ最後のテーマはセキュリティ対策に関する困りごとです。
1億円の現金を自宅の金庫に保管しますか？
中小企業のセキュリティ対策に関する指摘で気になるのが、一部の経営者のクラウドサービスに対する誤解です。クラウドサービスを提案すると、社外に重要なデータを保管するリスクが心配、データが無くなるか不安といった反応をする経営者の方が少なからずいらっしゃいます。
そのような反応が示されたときは、銀行を例にしてご説明しています。「1億円の現金が手元にあった場合、銀行に預けますか、自宅の金庫で保管しますか？」と質問すれば、現金の入手経路が怪しい脱税やマネーロンダリングのような場合を除き、大多数の方は銀行に預けると答えると思います。
100年単位で遡れば、強盗や取り付け騒ぎなどで銀行に預けることがリスクになる時代もありましたが、現在ではそのような懸念を持つ方は少ないでしょう。企業の重要な資産である情報も現金と同じです。
クラウドサービスは、かつてデータ消失や漏えいが頻発したこともありましたが、最近では致命的なトラブルが報じられることも少なくなっています。対して、中小企業へのサイバー攻撃の可能性は少ないが、大手サービスベンダーは常に狙われているのだからクラウドサービスのほうがセキュリティ侵害のリスクが高いはずだと反論される方もいらっしゃいます。
確かに大手ベンダーほど攻撃が多いのは事実ですが、世界最先端の技術を取り入れてセキュリティ対策しています。さらに、サイバー攻撃の低コスト化や自動化ツールの普及などもあり、中小企業へのサイバー攻撃は年々増えており、大企業と中小企業にとってセキュリティ対策の重要性は変わらなくなっています。
セキュリティ対策面だけでなく、ランニングコストの観点でクラウドサービスよりオンプレミス（サーバー等の機器を自社所有し社内管理でシステムを動かす方法）を選択するという事例も良く耳にします。3~5年程度の直接的な費用を比較すると、オンプレミスのほうがコスト優位になるケースが多いのは事実です。ただし、オンプレミスの場合には様々な隠れたコストが発生します。
セキュリティ対策やバックアップ、トラブル時の対応、5~10年ごとに必要なサーバー入れ替えやOS、データベースのバージョンアップなど、外に出ていく費用だけでなく、それに対応する人的費用が必要です。リソースの少ない中小企業こそ、本業に集中するためにもクラウドサービスを利用するようにしたいものです。
売上や利益を生み出さないセキュリティ対策は後回し？
クラウドサービスに関わる議論と同様、セキュリティ対策の必要性に関する指摘も良く寄せられます。セキュリティ対策を徹底しても売上や利益を生み出すことは無いのだから、中小企業にとって後回しにせざるを得ないという考え方です。このような考えの経営者の方には、必要最低限の対策とルールづくり、教育をお願いしています。
前述の通り、中小企業へのサイバー攻撃は増加する一方である以上、必要最低限の対策は必須です。万が一、標的型攻撃やランサムウェアの被害を受けてしまえば、取引先からの信用は一気に低下してしまいます。自動車を運転する際に保険が必要なように、ITツールを利用するには最低限のセキュリティ対策が求められます。
ただし、日々進化している攻撃手法に対抗するためにセキュリティ対策製品も次々と進化しており、中小企業が万全の対策をツールだけで実現するのはほぼ不可能です。従って、お金をかけて製品を導入するだけでなく、ルールづくりと従業員教育を徹底することが重要です。特に、どのようなものがセキュリティ事故（インシデント）に該当するかを規定し、事故が発生した場合に必ず報告することを従業員に徹底してください。
セキュリティの被害が拡大し、企業の責任が問われる最も大きな要因の一つは、発見や通報の遅れです。事故が発生した際に速やかに経営者が把握し、必要な対策を講じれば、被害は最小限に抑えられますし、外部に対する説明も理解してもらえます。
DX経営アドバイザー講座講師
木佐谷 康