目を見張るような被害規模の大規模サイバー攻撃、たとえばYahooの10億アカウントが侵害された事件が2016年に発生し、ニュースの見出しを大きく飾る。しかし、こうした報道の陰で見過ごされがちなのは、中小規模の組織がいかに頻繁に攻撃を受けているかということだ。
過去1年間に、米国の中小企業の半数がハッカーによる侵害を受けた。その中には、インディアナ州マンシーのメリディアン・ヘルスも含まれる。従業員1,200人分のW-2フォームが盗まれたのは、会社幹部を装ったメールに従業員がだまされたためだ。多くの中小企業は、あと一度不正な電信送金があれば、廃業に追い込まれかねない。
サイバー犯罪への対処法については、さまざまな助言があるが、何が最善なのかを見極めるのは難しい。私は、企業がサイバー犯罪と闘う方法を研究している。私からの助言は、サイバーセキュリティの「3つのB」を知ることだ。警戒し（Be aware）、備えを整え（Be organized）、先手を打つ（Be proactive）。企業がサイバーリスクをより効果的に軽減する方法を研究する立場からの助言は、サイバーセキュリティの「3つのB」を知ることだ。警戒し、備えを整え、先手を打つ。
より多くの企業が、サイバー攻撃への備えを強化するために、大きな費用をかけずにできることを紹介しよう。
警戒する
ほぼどの企業も脆弱性を抱えている可能性があるため、さまざまなサイバー攻撃に備える必要がある。企業の管理者やネットワークセキュリティの担当者は、知っておく必要があるのは、さまざまな種類のデジタル上の脅威と、脆弱性を抑える方法だ。
すべての従業員が知っておくべき攻撃がある。最も一般的なものは「フィッシング」と呼ばれる手法で、特定の標的を狙う亜種は「スピアフィッシング」と呼ばれる。これらは通常、同僚や上司から送られたように見せかけ、機密情報を求めるメールの形をとる。マンシーの医療会社で起きたのもこの手口だ。こうしたメッセージには、正当なものだと信じた被害者が従ってしまう指示が含まれる場合がある。たとえば、マルウェアをインストールしたりログイン情報を盗み取ったりするリンクをクリックさせたり、別の企業の口座へ電信送金をさせたりする。
こうした攻撃に対する最善の防御策は、疑う姿勢と警戒を怠らないことだ。攻撃者は非常に巧妙で執拗だ。一人でも気が緩んだ瞬間に悪意あるリンクをクリックすれば、ネットワーク全体が侵害されるおそれがある。
備えを整える
多くの企業は、物理的な資産や従業員を守るために多大な努力を払っている。しかし、デジタル情報については同様の予防策を講じていない企業も多い。重要なコンピューターをインターネットから切り離していても、USBメモリーや書き換え可能なCDを接続できたり、パスワードが推測されやすかったりすれば、情報は同じように危険にさらされる。
中小企業の経営者は、サイバーセキュリティを優先課題にする必要がある。適切な準備がなければ、大企業でさえサイバー攻撃への備えが不十分な事態に陥りうる。ソニーが2011年にハッキングされた際、情報セキュリティだけを担当する幹部はいなかった。しかし、その担当者を採用しても、2014年の再度のハッキングは防げなかった。
先手を打つ
ただ事後対応に追われるのではなく、前もって計画を立てることが不可欠だ。事後対応に追われるだけでなく、米国国立標準技術研究所（NIST）のサイバーセキュリティ・フレームワークは、サイバーセキュリティ対策の5つの主要機能を挙げている。脆弱性を特定し、攻撃から守り、侵入者を検知し、攻撃に迅速に対応し、攻撃が収束した後に復旧することだ。
すでに一部の企業は、助言を受けている。NISTのガイドラインに従えば、サイバーセキュリティ上の問題が発生または発覚した際に、法的責任を軽減できる可能性があるという。大学と連携してサイバーセキュリティ・クリニックを設立したり、サイバーリスク保険への加入を検討したりすることもできる。
サイバー攻撃の標的になることは避けられないが、だからといって被害者になるとは限らない。簡単な対策でも大きな効果が得られる。オーストラリア政府は、基本的な3つの対策を講じることで、サイバー攻撃の85％を阻止したと報告している。その対策とは、政府のコンピューターで実行できるプログラムを制限すること、ソフトウェアを定期的に更新すること、ネットワークや重要な機器の管理者権限を持つ人を最小限に抑えることだ。
サイバーセキュリティはロケット工学ほど難しいものではない。必要なのはコンピューター科学だ。
