特集2022年を振り返る

第3章

情報セキュリティリスクへの警鐘
佐々木剣太

神奈川県中小企業診断協会

2022年 2 月，大手自動車メーカーのサプラ⑴

機密性（Confidentiality）

イチェーンに連なる，ある部品メーカーがラアクセス権の設定やパスワード管理，デーンサムウェアによるサイバー攻撃を受けた。

タの暗号化などにより，情報へのアクセスをこのサイバー攻撃により，この部品メーカ制限し，意図しない情報開示や流出を防ぐこーの保有する受発注システムが停止。その結とである。

果，部品供給がとまり，自動車メーカーのすべての工場で，生産が 1 日停止する事態に陥⑵

完全性（Integrity）

った。この攻撃により最終的に，全国14ヵ所デジタル署名の利用やアクセス・改変の履の工場，28ラインの製造が停止し， 約 1 万歴の管理などの仕組みにより，サイバー攻撃3,000台の生産に影響が出た。

による機密情報の破壊，改ざんまたは消去を調査の結果，部品メーカーの子会社が保有防ぐことである。

するリモート接続機器の脆弱性を利用した攻撃であったことが判明した。大手自動車メー⑶可用性（Availability）

カーのサプライチェーンは全体で数万社規模

システム障害発生時においても，継続利用といわれている。そのうち 1 社の情報セキュできる仕組みなどにより，いつでも情報を利リティ対策が不十分であることが原因で，チ用できることである。

ェーン全体に損害を与えたのである。
これらのことからわかるように，企業の規模に関係なく，チェーンにかかわる全企業で，継続的な情報セキュリティ強化が求められる。

2 ．ランサムウェアの現状⑴

ランサムウェアとは

本章では，サイバー攻撃の特徴や情報セキ「ランサム（＝身代金）＋ウェア（＝ソフュリティに対する中小企業の取組み，そして，トウェア）」から名づけられ，ウイルス感染中小企業診断士の役割について紹介する。

によりデータを暗号化し，データを人質に取って身代金を要求するサイバー攻撃である。

1 ．情報セキュリティとは近年では，データを公表するとして金銭を要求する「二重脅迫型ランサムウェア」ヘと情報セキュリティとは，社内に保有する流手口を変化させている。これにより，暗号化出の許されない情報資産を安全に企業活動に使用するため，「情報セキュリティの CIA」とによって可用性を低下させる従来の手口に加呼ばれる 3 つの機能を維持することである。ているといえる。

12

企業診断ニュース

えて，機密性を脅かすことで被害が甚大化し2022．12

第3章

情報セキュリティリスクへの警鐘

国内におけるランサムウェア被害の報告件て，サプライチェーン全体に被害を与えた。

数からも，増加の一途をたどっていることがまさに，サプライチェーン攻撃の代表的事例

わかる（図表 1 ）。といえる。

図表 1

ランサムウェア被害の報告件数の推移

140

114

以上が，リモートデスクトップや仮想的に専用回線を構築する VPN 機器の設定の不備や，

61

件数
40

サイバー攻撃の経路と対策
次に，ランサムウェアの感染経路について説明する。ランサムウェア被害のうち， 8 割

8590⑶

21

脆弱性を悪用した攻撃である（図表 3 ）。

2020下半期 2021上半期 2021下半期 2022上半期

図表 3

出所：警察庁「令和 4 年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2022）をもとに筆者
作成⑵

狙われる中小企業
警察へのランサムウェアの被害報告件数の半数以上を中小企業が占めており，被害は中感染経路の割合

不審メールやその添付ファイル
9％
4件
リモートデスクトップからの侵入
15％
7件

小企業にも及んでいる（図表 2 ）
。

4件
その他
9％

VPN機器からの侵入
68％
32件

図表 2

ランサムウェア被害の企業・団体等の規模別報告件数
19件
団体等
17％

出所：警察庁「令和 4 年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2022）をもとに筆者
作成

36件
大企業
32％

VPN は，可用性を損なわずに，機密性を高める手段であり，情報セキュリティ強化のために用いられる。しかしながら，脆弱性が見中小企業
52％

つかったにもかかわらず，セキュリティパッチ（OS やソフトウェアの脆弱性などを解消する更新プログラム）の適用が不十分である

59件
出所：警察庁「令和 4 年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2022）をもとに筆者作成

これまでは，「標的型攻撃」という，標的企業に対して，直接的に攻撃を仕掛ける手口が用いられていた。近年では，企業単独ではと，攻撃のきっかけを与えてしまうことになる。つまり，情報機器の管理を確実に実施できる体制の構築が重要であることがわかる。

3 ．中小企業の動向なく，サプライチェーン全体を狙った「サプ次に，中小企業の情報セキュリティに対すライチェーン攻撃」が増えている。その結果，る取組みについて紹介する。独立行政法人情

大企業に比べ，情報セキュリティ対策の甘い

報 処 理 推 進 機 構（IPA）が 取 り ま と め た

中小企業へと標的が変わりつつある。

「2021年度中小企業における情報セキュリテ部品メーカーに対するサイバー攻撃も，子会社を経由してシステムに侵入し，結果とし企業診断ニュース

ィ対策に関する実態調査―調査報告書―」より，次の 3 つの観点から解説する。
2022．1213

特集⑴

投資に対する動向

図表 5

調査年以前の 3 年間での情報セキュリティ

パソコンへのセキュリティパッチの適用状況
適用方針・適用情報ともにわからない
2.0％

に対する投資額を集計した結果より，2016年調査時に比べて，「投資していない」と答え適用の仕方がわからない
2.3％
ほとんど適用していない
4.3％

る企業は22.1ポイント低減し，情報セキュリティ投資を行う企業は，全体で24.6ポイント増加した（図表 4 ）。

業務でパソコンは利用していない
無回答
0.6％
4.2％

n：3,898

2016年に比べて情報セキュリティへの関心は高まっているといえる。
図表 4

各ユーザーに適用を任せている
18.9％

情報セキュリティ投資額

投資していない

33.1
28.6

１百万円未満
１百万円〜5百万円未満

5.6
8.2

５百万円以上

1.5
2.9

020

常に適用する方針・設定
だが，実際の適用状況は不明
23.2％

55.2

49.2
出所：独立行政法人情報処理推進機構「2021年度中小企業における情報セキュリティ対策に関する実態調査―調査報告書―」（2022）をもとに筆者作成

2016年調査（n：4,318）
2021年調査（n：3,802）9.1
6.7

わからない・無回答

40

6080

100

回答率［％］

図表 6

情報機器管理体制
感染経路の調査結果からも，サイバー攻撃を防ぐためには，セキュリティパッチの適用により脆弱性を塞ぐことが重要である。しかし な が ら， 中 小 企 業 に お け る Windows

5.1
7.2

外部講習やセミナーの聴講

6.1
5.65 ）。
社員教育に対する動向
情報セキュリティレベルを高く保つためには，従業員が重要性を認識してルールを守ることが必要となるため，教育も重要である。

2016年調査（n：4,215）
2021年調査（n：4,074）

17.9
15.4

社内の研修や勉強会

61.8
55.1

特に実施していない
2.2
5.8

無回答

況の調査では，半数以上の企業で適用状況が把握できていない結果となっている（図表25.9
28.8

eラーニングUpdate などのセキュリティパッチの適用状⑶

情報セキュリティ教育の実施状況

関連情報の周知（社内メール・回覧・掲示板など）

出所：独立行政法人情報処理推進機構「2021年度中小企業における情報セキュリティ対策に関する実態調査―調査報告書―」（2022）をもとに筆者作成⑵

常に適用し，適用状況も把握している
44.5％

020

4060

80

100

回答率［％］
出所：独立行政法人情報処理推進機構「2021年度中小企業における情報セキュリティ対策に関する実態調査―調査報告書」（2022）をもとに筆者作成

4 ．中小企業の対策事例

中小企業の従業員への教育は，2016年調査

上記の調査結果からは，情報機器管理や教時に比べ，「特に実施していない」と回答す育面で課題のある結果となった。また，サプる企業は低減しているものの，まだ55％が実ライチェーン攻撃の拡大により，チェーン全施していないという結果となった（図表 6 ）。

体の情報セキュリティ強化が求められている。

14

企業診断ニュース

2022．12

第3章

情報セキュリティリスクへの警鐘

これらの状況に対して，中小企業にて実践ベルを確認している。具体的には，ISMS 認

可 能 な 取 組 み 事 例 を IPA が 取 り ま と め た

証の取得状況や，情報資産の管理方法，部外「2021年度中小企業における情報セキュリテ者の立ち入りの有無などを確認し，守秘義務

ィ対策に関する実態調査―事例集―」より，を守れる環境であるかの確認を行っている。
取引先からの情報セキュリティ上の要請は2 つ紹介する。

年々増加傾向にある。情報セキュリティ対策⑴

を徹底することのメリットは，取引先からの従業員教育による対策
山梨県で保険代理店を営む A 社は，外部ベンダに委託してシステム構築・メンテナンスを行っている。また，リモートワークやオンライン面談に対応した社内規定の整備や端末・設備の準備を行うことで時流の変化にも対応してきた。

信頼が得られることにあると感じている。

5 ．中小企業診断士に求められる役割
ランサムウェアの被害拡大の背景には，コロナ禍でのテレワークの急拡大も一因と考え現状でも，情報セキュリティレベルに問題られている。急な生活様式の変化により生じはないが，従業員の不注意による情報流出のた機器管理面の不備が狙われたのである。

懸念は払拭できないことから，従業員教育に今後も社会の潮流の変化に合わせて，サイ力を入れている。具体的には，モバイル端末バー攻撃は巧妙に手口を変えてくるだろう。の取り扱いなどをテーマとして取り上げ，経特に，近年ではデジタルトランスフォーメー営者と従業員が参加して毎週定例で勉強会をション（DX）の実現に向け，さまざまな企業行っている。ほかにも，動画配信サイトのコが業務プロセスのデジタル化に取り組んでいンテンツの活用や，外部の研修やセミナーへる。その半面，業務プロセスの急な変化によの参加，標的型攻撃への訓練の実施によりリりほころびが生じる可能性がある。

テラシー向上に励んでいる。
A 社は，情報セキュリティ対策への取組み診断士に求められる役割は，中小企業経営者により顧客からの信頼が得られることで，今に対して情報セキュリティリスクの警鐘を鳴日まで取引が継続できていると認識している。

らすことである。情報機器管理体制や教育のこのような社会の変化に対して，中小企業仕組みの構築など，情報セキュリティの強化⑵

委託先を巻き込んだ対策
神奈川県で印刷業を営む B 社は，印刷物のは経営者がリーダーシップを発揮して推進す製作のために公開前の情報を預かる機会が多ュリティの重要性を認識することが活動の第いことから，情報セキュリティ強化の重要性一歩となる。

る必要がある。そのため，経営者が情報セキを認識していた。そのため，情報セキュリティマネジメントシステム（ISMS）認証を取得し，総合的な情報管理を行っている。また，従業員の情報セキュリティに対する意識を常に高く保つため，情報セキュリティに関するメッセージを継続して発信している。
近年では，業務委託を行う協力会社へ，情報セキュリティ対策の要請や，その重要性の周知を行っている。また，業務委託先の選定の際には，付き合いの長さや品質に加え，実際に協力会社に出向いて情報セキュリティレ企業診断ニュース

佐々木剣太（ささき けんた）奈良先端科学技術大学院大学卒業後，精密機器製造業にて，CAE や AI による設計・開発の DX 化の推進を担当。2022年
中小企業診断士登録。

2022．1215