こんにちは、株式会社ICUの川島です。
私の会社は、経済産業省に登録された「情報処理支援機関（スマートSMEサポーター）」として、中小企業のお客さまにITの活用や業務効率化に関するアドバイスを日々行っております。
最近では、「セキュリティ対策って、どこから手をつければいいの？」「IT担当がいない小さな会社でも、何かできることはあるの？」といったご相談をいただく機会が増えてきました。
今回は、そうしたお声にお応えする形で、「まず見直していただきたいセキュリティ対策」についてお話しします。
特に、もっとも身近でありながら意外とおろそかにされがちな「パスワードの管理」について、実際の事例も交えながら、わかりやすく紹介します。
中小企業こそ、サイバー攻撃の「狙われやすい標的」に
「情報セキュリティ」と聞くと、大企業や官公庁の話だと思っていませんか？
ところが近年では、中小企業がサイバー攻撃のターゲットになるケースが急増しています。
その背景には、「セキュリティ対策が手薄である」「IT担当者が常駐していない」「社内教育が十分でない」といった実情があります。
たとえば、地方の建設会社がメールに添付された偽の請求書ファイルを開いてしまい、社内サーバーのデータがすべて暗号化される「ランサムウェア」被害が発生した、という事件もよく耳にします。
「取引先とのやりとりで忙しく確認を怠ってしまった」「怪しいと感じつつも、何となく開いてしまった」――こうした“ちょっとした油断”が命取りになるのが、サイバー攻撃の恐ろしいところです。
中小企業であっても、取引先に大企業があれば、攻撃者は「踏み台」として利用しようと狙ってくることもあります。
だからこそ、会社規模にかかわらず、情報セキュリティへの意識と対策が求められる時代になったのです。
最初に見直したいのは「パスワードの管理」
情報セキュリティ対策というと、難しい専門用語や高額なソフトウェアを連想するかもしれませんが、実は最も基本的で、すぐに実行できる対策が「パスワードの適切な運用」です。
しかし残念ながら、多くの企業でまだまだ「同じパスワードを使い回している」「覚えやすい単語を使っている」「管理は各人に任せている」といった状況が見られます。
あるITセキュリティ会社の調査では、中小企業の約6割が、複数の業務用サービスで同じパスワードを使い回しているという結果も出ています。
パスワードの使い回しが招く深刻なリスク
では、なぜパスワードの使い回しが危険なのでしょうか？
それは、一つのサービスから情報が漏れたとき、他のすべてのサービスにも不正ログインされる恐れがあるからです。これを「パスワードリスト攻撃」といいます。
たとえば、以下のようなケースが実際に起きています。
《ケース例》
ある社員が仕事で利用していた消耗品発注用の通販サイトが情報漏えい。
そこに登録していたID（メールアドレス）とパスワードを、メールやクラウドストレージ、会計システムでも同じように使っていたため、次々と不正アクセスされ、大量の顧客データが盗まれてしまった。
このように、「一つのパスワードの流出」が、会社全体の信用や損失に直結する時代になっています。
安全なパスワードの条件とは？
それでは、どのようなパスワードが安全なのでしょうか。以下を基準にしてください。
- サービスやサイトごとに異なるパスワードを設定する（※必ず！）
- 英数字＋記号を組み合わせる（例：R9!dTx7#）
※記号を加えることで、総当たり攻撃に対する強度が飛躍的に上がります。 - できれば12文字以上が望ましい（最低でも8文字）
※文字数が多いほど、解析にかかる時間が格段に長くなり、攻撃のリスクが下がります。 - 実在する単語は使わない（辞書攻撃対策）
- キーボードの配列（例：qwerty、123456）は避ける
「そんなの覚えにくい！」と思われるかもしれませんが、それは当然。そこで、人の記憶力に頼らず、ツールを活用することが今の時代の大前提です。覚える必要はありません。
パスワード管理には「専用ソフト」を使うのが現代の常識
例えば当社では、社内で利用するすべてのアカウント情報を、1Password（ワンパスワード）という管理ツールで一元管理しています。
このようなパスワード管理ソフトを導入することで、以下のようなメリットがあります
- すべてのログイン情報を自動保存・記録
- 従業員ごとにアクセス権限を割り振れる
- 退職者のアカウント削除やパスワード変更もスムーズに対応
- 万が一漏えいがあっても、該当パスワードを即時変更可能
管理者が一元管理できるので、「どこでどのアカウントを使っているか」がすぐに把握でき、社内トラブルの予防にもつながります。
「うちは小規模だから大丈夫」は、もはや通用しない時代
「うちは社員数も少ないし、取引先も限られているから…」と油断していませんか？
実際には、企業規模に関係なく、インターネットを利用していればすべての企業が潜在的な攻撃対象になります。
とくに最近では、中小企業を狙ってウイルス付きの偽メールを送るケースや、ログイン情報を盗んで業務データを窃取するといった事例も多発しています。
つまり、被害に遭ってからでは遅いのです。
セキュリティは「コスト」ではなく「信用を守るための投資」と考えましょう。
まずは「今日からできること」から始めてみましょう！
情報セキュリティは、一朝一夕に完璧になるものではありません。
だからこそ、まずは「社内で勉強会を開催する」「社内で使い回しているパスワードを洗い出す」「パスワード管理ツールを導入する」など、できることから一歩ずつ始めてみてください。
社員全員が「セキュリティ意識を持つこと」が最大の防御になります。
安全に事業を継続していくために、今日から情報セキュリティ対策を始めていきましょう。
