脅威を3種類に分けて理解する
脅威は原因ごとに分類すると、対策の方向性が明確になります。
なぜ分類が重要か
脅威をひとまとめに考えると、対策が場当たり的になります。「サイバー攻撃対策」と「社員の誤送信対策」は、必要な打ち手が全く違うためです。前者はファイアウォールや多要素認証などの技術対策、後者はダブルチェックや教育などの組織対策で、投資すべき領域が異なります。原因を3つに分けることで、それぞれに合った対策を選び、限られた予算を効果的に配分できるようになります。
3種類の分類
脅威は「外部からの攻撃」「内部からの漏洩」「災害・事故」の3種類に分けられます。統計上、情報漏洩の原因として最も多いのは内部要因で、悪意のないうっかりミスが半数以上を占めます。一方で被害の大きさで見ると、ランサムウェアなどの外部攻撃は業務停止で数千万円規模の損失に及ぶこともあり、無視できません。3種類のバランスで対策を考え、頻度と影響度の両面から優先順位を判断する必要があります。
外部からの攻撃
サイバー攻撃は自動化されて広く仕掛けられており、企業規模を問わず標的になります。
サイバー攻撃・不正侵入
インターネット経由でシステムに侵入し、情報を盗んだり業務を止めたりする攻撃です。脆弱性のあるソフトウェアや設定ミスを狙って、自動化されたツールで広く仕掛けられます。パソコン・サーバー・ネットワーク機器の更新を怠ると、侵入されるリスクが高まります。特にWindows Updateの適用遅れや、初期設定のままのルーター、退職者のアカウント放置などが侵入の入口になりやすく、日常運用の見直しが基本対策になります。
フィッシングメール
取引先や金融機関を装ったメールで、偽サイトに誘導してパスワードやクレジットカード情報を盗む手口です。近年は日本語も自然になり、業務メールと見分けがつきにくくなっています。取引先の担当者を装ったビジネスメール詐欺（BEC）では、偽の振込先を指定して数百万円〜数千万円を送金させる被害も発生しています。社員1人が引っかかると、そこから社内全体に被害が広がる可能性があります。
ランサムウェア感染
パソコン内のファイルを暗号化して、解除の対価として金銭を要求する攻撃です。感染するとファイルが開けなくなり、業務が完全に止まります。近年は身代金額の高額化が進み、企業では数千万円を要求されるケースも報告されています。バックアップがないと復旧が困難で、身代金を払っても復旧の保証はなく、暗号化されたバックアップまで巻き込まれるケースも多いのが実情です。
内部からの漏洩
情報漏洩の原因として最も多いのは、悪意ではなくうっかりミスです。
誤送信・紛失
メールの誤送信、宛先の入力ミス、USBメモリの紛失、ノートパソコンの置き忘れなど、社員のうっかりミスによる漏洩です。誰にでも起こりうるため、責任を追及するより仕組みで防ぐことが基本です。宛先自動確認機能、送信前の一時保留、CCとBCCの使い分け教育、USBメモリの利用申請制、暗号化端末の徹底、社外持ち出し時の申請ルールなどを組み合わせて、うっかりが漏洩につながらない構造を作ります。
権限外アクセス・不正閲覧
本来アクセス権限がない情報を、興味本位や私的目的で閲覧するケースです。給与情報を見る、他部署の営業データを覗くなどが典型例です。中小企業では「共有フォルダに全員がアクセスできる状態」が放置されがちで、業務外の閲覧が構造的に可能な状態になっています。アクセス権限を業務に必要な範囲に絞り込むことで、そもそも閲覧できない状態を作ることが基本対策で、閲覧ログの記録と組み合わせると抑止効果も高まります。
退職者による持ち出し
退職時に営業リストや技術資料を持ち出し、転職先で使うケースです。悪意がある場合と、単なる「使い慣れた資料を持っていきたい」という感覚の場合があります。競合他社への転職では特に問題になりやすく、営業秘密の不正取得として訴訟に発展する事例もあります。退職時のデータ持ち出し禁止ルール、アカウントの即日削除、機密保持契約の締結が対策で、退職予告後のアクセスログ監視も有効です。
災害・事故
災害や事故は防ぎきれないため、被害を最小化する備えが重要です。
地震・水害・火災
自然災害でオフィスやサーバー室が被害を受け、機器ごとデータを失うケースです。日本は特に自然災害のリスクが高く、事業所を1カ所にまとめている中小企業は影響が大きくなりがちです。実際に大規模震災後には、バックアップがなかった企業の廃業も相次いでおり、事業継続の観点で大きな課題です。データを離れた場所にもバックアップする多拠点化が対策の基本で、クラウドバックアップなら地理的に離れた場所への保管を安価に実現できます。
機器故障・停電
パソコンやサーバーのハードディスク故障、電源トラブルによるデータ消失です。長時間稼働している機器は突然故障することがあり、5〜7年を超えると故障確率が急上昇します。定期的なバックアップに加えて、重要なサーバーは冗長化して片方が壊れても止まらない構成にすることが有効です。無停電電源装置（UPS）の設置で瞬間停電にも備えられ、機器の急な故障もある程度予防できます。
操作ミス・誤削除
社員が誤って重要ファイルを削除する、上書き保存で古い版を失うなどのミスです。単純な話ですが、実際に業務停止につながる事故として頻繁に発生しています。共有フォルダで一人が誤削除すると全員が影響を受け、復旧作業で数時間〜数日の業務停止に発展することもあります。バックアップの世代管理（数日前・数週間前の版も残す）で、削除前の状態に戻せる仕組みが必要で、共有ストレージのバージョン履歴機能も有効です。
脅威ごとに対策の方向性が違う
3種類の脅威に対して、それぞれ異なる対策アプローチが必要です。
| 脅威 | 主な対策 |
|---|---|
| 外部からの攻撃 | 技術対策（認証・アクセス制御・ソフト更新） |
| 内部からの漏洩 | 組織対策（ルール・教育・権限管理） |
| 災害・事故 | 有事対策（バックアップ・BCP・多拠点化） |
次回以降の記事で、これら対策を「技術」「組織」「法律」「有事対応」に分けて詳しく解説します。まず自社にどの脅威が特に影響するかを把握しておくと、後の対策検討が具体的になります。
まとめ
情報セキュリティの脅威を、外部・内部・災害の3種類に分けて解説しました。
- 脅威を分類することで、対策の方向性が明確になる
- 外部からの攻撃は自動化されており、企業規模を問わず標的になる
- 情報漏洩の原因として最多は内部要因（誤送信・持ち出しなど）
- 災害・事故は防ぎきれないため、被害最小化の備えが重要
- 脅威の種類ごとに対策アプローチが異なる（技術・組織・有事）
脅威を正しく理解することが、効果的な対策の第一歩です。ジョブらくでは、自社の情報資産と業務実態に合わせた脅威分析から対策設計までを支援しています。「どの脅威に優先的に備えるべきか」を整理したい方は、お気軽にご相談ください。
コメント