あらゆる企業でインシデントが発生
「日本企業だから、中堅中小企業だから狙われにくい、というのは過去の話です。現在は、あらゆる企業がサイバー攻撃の標的になっています」と、PwCの山本直樹氏は指摘する。
興味深いデータがある。PwCが2014年3月から5月にかけて実施した「グローバルセキュリティ調査®2015」によると、セキュリティインシデント（事件・事故）検知数の年間成長率（CAGR）は、09年以来、年平均66％の増加を続けている。年商1000億円以上の企業における年間インシデント検知数の平均は1万3138件にも及ぶ。検知数は大企業ほど多いが、中堅中小はインシデントが発生しても検知できていないところが多い。あらゆる企業において毎日なんらかの外部からの攻撃や内部犯行などのインシデントが発生しているのである。
「日本企業に対する攻撃も年々増加しています。その一方で、日本企業のセキュリティ投資額は、世界全体の平均（年間4・2億円）に対して、約半分（年間2・1億円）にとどまっています。グローバルは新興国と先進国とを合わせた平均なので、先進国の企業だけと比較するとその差は数倍になります」（山本氏）。むろん、日本企業においても、昨今、企業が保有するデータの盗難や、ウイルスへの感染による大規模なシステムダウンの発生などが多発していることをきっかけに、なんらかの対策を行おうとする企業も増えている。「ただし、欧米に比べればその動きは始まっ
たばかり。さらに、投資に積極的な企業とそうでない企業の差も開いています」。
「グローバルセキュリティ調査2015」では、セキュリティインシデントの要因として内部関係者によるものが最も大きいことを示している。この中には、本人が悪意を持っている場合だけでなく、マルウェアに感染し意図せず犯罪者に協力してしまっているケースもあるという。「日本の企業では事件が起こったときに『まさか内部の人間がやるとは思わなかった』と答える経営者がいますが、それでは説明になりません。サイバーセキュリティ対策はまさに経営者の責任なのです」と山本氏は語る。
進むサイバーセキュリティ対策の法制化
政府も法制化などを進めている。2014年11月には「サイバーセキュリティ基本法」が成立した。金融庁などからはすでに監督指針や検査マニュアルの改正案が公表されている。金融庁ではさらに16年をめどに、上場企業におけるサイバー攻撃によるインシデントの可能性などについて、米国の証券取引委員会（SEC）における取り組みなどを参考にしながら、有価証券報告書などに開示する仕組みを導入しようとしている。これらは、IT部門だけで行うことはできないことは言うまでもない。明確に経営者の課題だ。取り組みを怠ることがあれば、株主などの投資家だけでなく、消費者からもそっぽを向かれることになるだろう。
「たとえば、内部犯行の対策として操作ログなどを残すのも一つの方法です。犯罪の防止だけでなく、万一の際には、無罪の従業員を守ることができます。もちろん、正確な情報の開示にもつながります」
「サイバーセキュリティセンター」が対策を支援
操作ログを残すといった取り組みは、セキュリティ対策の一つとして有効だが、CEOなど経営トップが自らそれをチェックするというのは現実的ではない。
「欧米ではCISO（Chief Information Security Officer）と呼ばれる、役員クラスのポジションがあります。CEOはCISOの任命や権限委譲のほか、自社のセキュリティアーキテクチャの点検やモニタリング、インシデント対応体制の強化、グローバルガバナンスなど、大きな観点でセキュリティ対策に取り組むべきです」
海外企業のM＆Aなどが一般化する中で、グループ企業も含め一貫性のあるセキュリティ対策を実現することは容易ではないが、その点で、山本氏の所属するPwCは、大いに頼りになる存在だ。同社は世界157カ国に19万5000人のスタッフを擁する。そのうちの2000人がサイバーセキュリティの専任コンサルタントだ。
さらに同社の「サイバーセキュリティセンター」は、「ウエスト（米国）」、「セントラル（英国）」、「イースト（豪州）」の3つのハブを置き、グローバルな知見と統合的なソリューションを提供してくれる。具体的には、ガバナンスや対策の有効性評価などを行う「セキュリティアセスメント」、グランドデザインやロードマップ策定、構築支援などを行う「セキュリティコンサルティング」、インシデント発生時の調査や対応支援などの「インシデントレスポンス」などのサービスをワンストップで実施するほか、グローバルな動向調査やレポート、サーベイなどの情報も提供してくれる。
「地政学的なリスクも含め、さまざまな環境変化が起こっている中で、サイバーセキュリティ対策も経営者にとって避けて通れないテーマになっています。と言っても、1社でできることには限りがあります。さまざまな企業との情報連携も必要です。本気になって取り組めば必ず解決できる問題だと感じています。ぜひ、わたしたちと一緒になって、取り組みを始めてほしいと願っています」と、山本氏は力を込める。
