2025.02.19

中小企業におけるセキュリティ脅威への対策強化　～よくある質問への回答～

これまで、独立行政法人情報処理推進機構（IPA）が発行する「情報セキュリティ１０大脅威2024」や「中小企業の情報セキュリティ対策ガイドライン第3.1版」を基に、中小企業の経営者やシステム担当者が行うべき情報セキュリティ対策について掘り下げてきました。

今回は、セミナーやメルマガのアンケートで寄せられた質問に焦点を当てて解説します。

経営層に求められるリーダーシップの具体的アクションと社員教育の進め方　【組織・人的対策】
情報資産の扱い方・管理方法　【技術的対策】

１．経営層に求められるリーダーシップの具体的アクション

情報セキュリティにおいて最も重要な要素は、定着化であると言っても過言ではありません。とはいえ、この定着化の実現は、最も困難な要素でもあります。

経営層の方からよく聞く声として、次のようなものがあります。

　　・規程を作ったが、どう徹底させればよいかわからない

　　・現場が面倒くさがって、なかなか実行してくれない

　　・社員のITリテラシーが低く、理解が進まない

　　・社内教育は実施しているが、浸透しない

これらを解決するためには、次の４つのアクションが重要です。

　　・経営層の積極的な参画

　　・セキュリティ規程の見直し

　　・従業員に自分事として感じさせる

　　・定期点検の有効活用

「セキュリティ規程の見直し」と「定期点検の有効活用」は、以前の記事で解説したので、今回は「経営層の積極的な参画」と「従業員に自分事として感じさせる」という観点で進めていきます。

（１）経営層の積極的な参画

情報セキュリティ対策を疎かにすると、経営に大きな影響を与え、最悪の場合、経営破綻や法的・道義的責任を問われることもあります。企業と従業員を守るため、情報セキュリティ対策は組織全体で取り組む必要があり、経営層の関与が不可欠です。

経営層の積極的な関与なしに、情報セキュリティ対策は成り立たないといえます。

経営層には自らが情報セキュリティに取り組むことを宣言し（情報セキュリティ基本方針の作成と公開）、具体的な対策を「企業や組織を守るためだけでなく従業員を守るための取り組みである」ことを説明することが求められます。また、その後も継続的に対策に取り組む姿勢を見せることが重要です。

（２）経営層が果たすべき具体的なリーダーシップ

経営層には、サイバーセキュリティ経営ガイドラインVer3.0に記載されているサイバーセキュリティ^※対策におけるリーダーシップと同等のことが求められます。具体的な取り組みは以下の通りです。

　　・社内全体でサイバーセキュリティ(情報セキュリティ)対応方針を決定

　　・リスク管理体制の構築

　　・予算、人材などの資源の確保

　　・リスクの把握と対応計画の策定

　　・リスクに対応する仕組みの構築

　　・PDCAサイクルによる対策の実施

　　・インシデント発生時の緊急対応体制の整備

　　・インシデント被害に備えた復旧体制の準備

経営層は、担当者を決めて任せる、または専門家に依頼しながら進めるリーダーシップが必要となります。特に、「任せきり」や「依頼しっぱなし」にならないよう、常にフォローアップすることが重要です。

※サイバーセキュリティと情報セキュリティとの違い
セキュリティ対策の基本的な考え方は同じと言えるが、サイバーセキュリティは情報セキュリティの３要素である、「機密性」「完全性」「可用性」に「安全性」(テロや戦争などの物理的な機器の破壊を想定)が加わり、かつ、デジタルデータを対象としている。また、情報セキュリティでは対象となっていた紙媒体が対象外となっていることが大きな違いといえる。

２．教育の進め方

情報セキュリティ教育は、以下の点を考慮して教育計画を年度単位で立案します。

　　・情報セキュリティ関連規程の説明（特に入社時や規程改訂時）

　　・最新の脅威に関する注意喚起（随時）

　　・関連法令の理解（特に公布・施行時）

　　・個人情報の取り扱いに関する留意事項

また、情報セキュリティ教育で重視すべきポイントは次の３点です。

　　・基礎知識の提供

　　・脅威の具体的理解

　　・自ら対策を考える能力の育成

学習には、独立行政法人情報処理推進機構（IPA）が提供しているコンテンツを利用するとよいでしょう。

（１）基礎知識の提供

「5分でできる！情報セキュリティポイント学習」など、簡単に学べるコンテンツを活用し、従業員が日常の中で実践的に学べるようにします。このコンテンツは、主に中小企業で働く方を対象に、職場の日常の1コマを取り入れた1テーマ5分程度の無料コンテンツです。

従業員向けコース(4テーマ)は、親しみやすい内容で、セキュリティに関する様々な事例を疑似体験しながら、適切な対処法を学ぶことができます。

（２）脅威の具体的理解

「情報セキュリティ１０大脅威2024」や「映像で知る情報セキュリティ」などを活用します。

情報セキュリティ１０大脅威2024は、組織編と個人編の２系統で構成されています。これらの学習を通じて自社や自身を脅かす可能性のある脅威について学び、自分自身の身の回りに起こり得ることと捉えてもらい、具体的なリスクについて理解を深めます。

また、映像教材を利用すれば、ドラマ仕立てで情報セキュリティ上の様々な脅威と対策を学ぶことができます。

（３）自ら考える能力の育成

危険予知訓練（KYT：危険のＫ、予知のＹ、訓練(トレーニング)のＴをとったもの）を通じて、組織や職場に潜むリスクを発見し、対応策を考える力を養います。ＫＹＴの基礎手法である「ＫＹＴ基礎４ラウンド法」では、危険の潜むイラストを使ったシミュレーションにより、リスクを予測し、対策を検討する能力を身につけることができます。

イラストの例を図1に示します