1つ目は、漠然とした楽観主義だ。経営者には、いまだサイバー攻撃に対する具体的なイメージを持てていない人が多いと門林氏は話す。
「自分たちに近い業界・業種でサイバー攻撃が明るみに出ない限り、自分事化することができない経営者は少なくありません。例えば、少し前にある社会インフラのシステムがランサムウェアの被害を受けましたが、この一件はどんな業界でもターゲットになりうることが実証された象徴的な事例です。多くの企業が被害を受けた後で慌てて対策を取ろうとしますが、それでは遅すぎます」

攻撃の手段が巧妙化しているのも特徴だ。サプライチェーンの末端に存在する小さな企業に侵入し、取引先をたどって最上流の大手企業へ身代金を要求するランサムウェア攻撃を仕掛けるケースなども起こっている。

「大きなサプライチェーンを抱える企業はリスクを十分認識しており、取引先に対してセキュリティの認証を要求するケースも増えています。ですが、攻撃の手口も高度化されていて、見積もり依頼のメール偽装などがほぼ本物と同じ内容で行われるなど、攻撃を完全に防ぐことは難しくなっています」（門林氏）

もはや企業の大・小、業種・業態を問わず、すべての企業がサイバー攻撃の標的になりうるのが現状だ。「うちの会社は取られて困る情報がないから心配ない」と考えていると、大口の取引先から「切られる」という重大リスクを招くかもしれない。

2つ目は、サイバー攻撃によって受ける被害は、事業継続において致命的なダメージにつながるということだ。

「ある企業では、すべてのシステムの復旧に2カ月以上を要したケースがあるなど、大規模なサイバー攻撃の被害から事業やサービスを通常稼働まで戻すには、膨大な時間がかかるケースが多いです。サイバー攻撃は個人情報流出の被害だけでなく、企業活動そのものを停止に追い込む『破壊力』があることを、経営者は再認識する必要があります」（門林氏）

そして3つ目は、どんなに対策を施しても攻撃を防ぐことは難しいということだ。門林氏は、攻撃対象になるインターネットへの接続を前提とした機器が急増していることが、その要因の1つだと話す。

「企業では多くのPC・スマホなど、非常に多くのネットワーク機器が使われています。その一つひとつに対してセキュリティの設定項目が何十というステップで存在しますが、全社のセキュリティを保つには、この掛け算で何千もの設定が必要です。家庭の防犯に例えると、窓が数千箇所ある家の戸締まりをしなければいけない状況です。うっかり1つでも窓が開いていれば、そこから攻撃を受けてしまいます」

訓練を繰り返すことで、異常を見つけて社内で共有する運用が根付く。それが大規模な被害に至る前に、攻撃を察知する文化につながると門林氏は話す。

「例えば製造業では、ラインが止まるほどの問題が起こっていなくても、徐々に製品の不良率が増えて、クレームが多くなるケースがあります。これも、企業に気づかれないような規模に調整された、サイバー攻撃の場合があります。このとき、何かがおかしいと現場の社員が考え、社内で情報を共有できる体制が整っていることが大事です。大きな被害につながる前に、原因を特定することができます」

またサイバーレジリエンスを高めるための訓練は、毎回攻撃対象を変えて、社内のあらゆるシステムに対して繰り返すべきだと門林氏は言う。実際に、社内システムへの模擬攻撃を組織的に実施して、サイバーレジリエンスを高めているグローバル企業もある。

「この企業は社内にサイバー攻撃を仕掛ける専門チームを持ち、24時間365日、社内システムのどこを攻撃しようか考えています。ターゲットが決まれば、本番稼働しているシステムに対して、業務に影響が出ないギリギリの線を狙って攻撃し、対象部門の対応を観察するのです」

攻撃は完全な抜き打ちで行われる。丸1日対応に追われたチームのメンバーに対して、最後に「これは訓練でした」と伝えるのだそうだ。

「それでも怒る人は一人もいません。この企業のトップが定めた『セキュリティは最初に取り組むべき仕事』という理念が浸透しているからです」（門林氏）