ブログ適切な情報セキュリティ対策を行っていないと、情報漏えいにつながるだけではなく、事業停止や従業員のモチベーション低下、離職など、企業はさまざまな不利益を被ります。このような事態を回避すべく、「中小企業の情報セキュリティ対策ガイドライン」を活用しましょう。本記事では、2023年4月に第3.1版として改訂・公開されたガイドラインの内容について詳しく解説します。記事を参考に、本格的な情報セキュリティ対策への取り組みを始めましょう。中小企業の情報セキュリティ対策ガイドラインは、企業経営者や実務の担当者が情報セキュリティ対策の重要性を正しく理解し、適切に対策へ取り組めるように知識や手法をまとめたコンテンツです。(IPA)」が当該ガイドラインを作成しました。当該ガイドラインは、2019年3月に第3版がリリースされましたが、それから4年が経過した2023年に内容が改訂されました。改訂された背景としては、急速に普及したテレワークが挙げられます。働き方改革の推進や新型コロナウイルス対策により、多くの企業がテレワークを導入しましたが、その結果、情報セキュリティリスクが高まりました。サイバー攻撃の手口が年々巧妙化しているのも、ガイドライン改訂に至ったひとつの理由と考えられます。変更点として、テレワーク環境下における具体的なセキュリティ対策の追加が挙げられます。3.1版には、テレワークの方針施策とともに、具体的なセキュリティ対策の手法が追加されました。セキュリティインシデント発生時における、具体的な対応方法を追加したのも変更点です。インシデントの予兆を察知したときにまず取るべき行動や、再発防止の取り組み方法なども盛り込まれました。付録として「中小企業のためのセキュリティインシデント対応の手引き」が追加されています。経営者編で注意すべきポイント情報セキュリティ対策ガイドラインは、1部と2部で構成されています。1部は経営者編となっており、対策の必要性や経営者が負う責任、やるべきことなどを記載しています。情報セキュリティ対策を怠ると、企業はさまざまな不利益を被ります。金銭の損失や顧客の喪失、事業の停止、従業員のモチベーション低下、離職などです。情報セキュリティ対策を怠ったばかりに、顧客情報が外部へ流出し、顧客を失ってしまうかもしれません。一度失った信頼はなかなか取り戻せず、そのまま事業停止につながるおそれもあります。経営者は、組織のトップとして企業と従業員を守らなくてはなりません。そのため、当該ガイドラインで情報セキュリティ対策の必要性、重要性を正しく理解する必要があります。当該ガイドラインには、経営者が負う責任についても記載されています。情報セキュリティ対策を適切に行わず、組織に何かしらの被害をもたらした際には、経営者にさまざまな責任が発生します。適切な安全管理措置を行わなかったがために、社員の情報が流出してしまい、法的責任を問われる場合があります。顧客情報や取引先との契約情報などが流出した場合、関係者や社会に対する責任も果たさなくてはなりません。当該ガイドラインには、経営者がすべきことを3つの原則で紹介しています。:情報セキュリティ対策は経営者のリーダーシップで進める対策の推進がスムーズかつスピーディーに進むよう、経営者が先頭に立ちトップダウンで進めます。:委託先の情報セキュリティ対策まで考慮する外部へ重要な情報を提供するのなら、委託先が適切な情報セキュリティ対策を行っているかどうかも確認しなくてはなりません。:関係者とは常に情報セキュリティに関するコミュニケーションを日常的に情報共有とやり取りを行うことで、顧客や取引先、株主など業務上の関係者との信頼関係を構築・維持できます。当該ガイドラインで紹介されている「重要7項目の取組」は以下の通りです。実践編の内容で注意すべきポイント実践編では、情報セキュリティ5か条と組織的な取り組みの流れ、損害を防ぐための具体的な対策が記載されています。具体的な対策を立てる際の参考にしましょう。情報セキュリティ5か条は、必ず実行すべき5つの対策です。・OSやソフトウェアは常に最新の状態にしよう!・ウイルス対策ソフトを導入しよう!・パスワードを強化しよう!・共有設定を見直そう!・脅威や攻撃の手口を知ろう!同時にすべての項目に取り組むのは難しいと考えられるため、取り組みやすそうなものから手をつけてみましょう。・組織的な取り組みの流れまずは、情報セキュリティに関する基本方針を定めましょう。軸となる方針がないと、対策にブレが生じるおそれがあります。基本方針を定めるだけでなく、従業員に周知しなくてはなりません。次に、現状における対策の実施状況を把握します。当該ガイドラインの付録を活用すれば、容易に実施状況の把握が可能です。実施状況を把握したら、対策を決めて従業員への周知を進めましょう。事業に深刻な損害を及ぼす事故を回避するための対策も、ガイドラインには記述されています。対策を推進し、万が一事故が発生したときスムーズに対応できるよう管理体制を構築します。・DXの推進と情報セキュリティの予算化DX推進によってより複雑化するリスクに対応するため、対策に必要な予算を確保しなくてはなりません。自社にマッチした規程を作成するには、対応すべきリスクを抽出したうえで対策を決定します。委託時の対策が適切でないと、委託先と共有した機密情報が外部に流出する可能性があります。対策がきちんと実行できているか、効果を得られているか、改善の余地はないかなどを確認します。まとめ中小企業の情報セキュリティ対策ガイドラインが改訂となり、安全なテレワークを実現するための具体策やインシデント発生時に取るべき行動なども追記されました。情報セキュリティ事故が発生すると、情報漏えいや利益損失につながるだけでなく社会的な信頼を失い、事業停止にも追いやられかねません。したリスクを回避すべく、当該ガイドラインを参考にしつつ適切な対策を進めていきましょう。ブログ新型コロナウイルスに対する緊急事態宣言が全国に拡大されるなど、混乱した日々が続いています。新型コロナウイルスの感染拡大を受け、多くの企業が自宅勤務に切り替えテレワークを実施するケースも増え続けています。以前より強力な全社的サイバーセキュリティ対策が求められている一方で、企業のIT資産の保護は手薄な状態になってセキュリティリスクは高まっているのが実態です。小規模事業者を含む中小企業にとっては、セキュリティの必要性を認識しても導入するまでのハードル(時間や費用等のコストの負担)は高いものです。このハードルを越えるには、国や自治体などで提供する助成金制度を利用することも一つの方法です。今回は、2020年東京都から提供するサイバーセキュリティ対策促進助成金について紹介していきたいと思います。保護し、あらゆるサイバー攻撃を防止するためのセキュリティ対策や設備(暗号化製品、アクセス管理など)の導入を支援する制度です。ACTION」とはいったい何でしょうか。自己宣言者サイト」より申請できます。サイバーセキュリティ対策促進助成金の申請対象は段階目の「★★二つ星」を宣言している中小事業者や中小企業団体が対象となるため、先に手続きを行う必要があります。ACTIONロゴマークを使用することができます。2つ星の宣言には情報セキュリティ基本方針を策定し、公開している状態になったうえで、IPAへ申請する必要があります。サイバーセキュリティ促進助成金の申請要件サイバーセキュリティ対策促進助成金を申請すると、中小企業者を対象にサイバーセキュリティ対策を実践するために必要な設備やサービスの導入にかかる経費の一部を支給されます。助成対象経費の1/2以内となります。以下の項目となります。端的に対象となりますので、新型コロナウイルスでテレワークが多く実施されている中、Webにつながっている企業様のITシステムを保護するためにぜひチェックしてみてください。当社ではクラウド型WAFサービスのクラウドブリック(Cloudbric)を提供しております。ハードウェアを購入し、ネットワークを設計し、導入スケジュールを立てる等の手間は必要ありません。DNS情報を置き換えて、アクセスの向き先をCloudbricへ変更して頂くだけで、導入し利用できます。特許取得済みの論理演算型解析エンジンを搭載しているため、そのセキュリティは、証明されています。推奨するポイントは、セキュリティの運用・管理を専門家にお任せできることです。各企業では提供されるユーザインターフェースにアクセスし、セキュリティ運用状況を確認するだけです。申請スケジュール2020年の第2期サイバーセキュリティ対策促進助成金の申請受付は5月18日(月)~25日(月)となります。助成金予算の執行状況により新規受付を早期終了する場合があります。申請には事前予約が必要なため、早めの申請をお勧めします。当社はクラウド型WAFサービスのクラウドブリック(Cloudbric)を提供しております。DNS変更だけで簡単に導入できるクラウド型サービスで、どのプランであっても同じレベルで高精度のエンタープライズセキュリティを提供するため、企業規模に関わらず安心してWebサイトを保護することができます。それでは、クラウドブリックが中小企業者に選ばれる理由について説明したいと思います。特許取得済みの独自開発のロジックベース検知エンジン(COCEP)を搭載し、あらゆるサイバー攻撃に対しロジカルに分析・即遮断を行います。シグネチャー基盤のWAFと違いシグネチャーの更新が不要なため、新種・亜種の攻撃に対応できる高精度のセキュリティを提供します。Security」に選ばれるなど、数々の海外受賞歴を保有しており、世界で評判のクラウド型WAFです。企業別に独立したWAFサービス環境を構築クラウドブリックは他社と共有せず、企業単位で完全に独立したWAFサービス環境を構築、提供します。企業の状況に合わせてカスタマイズされたセキュリティ運用ポリシーを策定することができるため、より安全な環境で、セキュリティ対策を実施することができます。WAFサービス+DDoS対策+SSL証明書を基本提供クラウドブリックはWAFサービスに加え、DDoS対策及びSSL証明書を提供し、企業の高セキュリティを実現できるよう手助けします。日々巧妙化かつ高度化が進むDDoS攻撃に対し、L3・L4だけでなく、アプリケーション対象(L7)攻撃にまで対応ます。WebサイトとWebサーバー間で通信データを暗号化するためのSSL証明書サービスを無料で発行でき、常時SSL化によるWebサイトの安全を確保できます。中小企業にとってリーズナブルな価格でより良いサービスを利用できるということになります。アクセス件数、IPアドレス情報、攻撃回数など、誰が、いつ、どこから、どのような目的で攻撃したかというWebサイトセキュリティ状況をリアルタイムに把握できます。月次単位で提供されるレポートを通じて自社のWebサイト情報をより詳しく分析することも可能です。クラウドブリックの直観的なユーザインターフェースに関する資料はこちらからダウンロードできます。今回紹介したサイバーセキュリティ対策促進助成金などを利用して、ビジネスを守るWebセキュリティ対策の第一歩を踏み出してみてはいかがでしょうか。セキュリティ対策への悩み、不安を抱えている中小企業の担当者をしっかりとサポートしていきますので、この機会に、ぜひ当社のクラウド型WAF「クラウドブリック」もご検討していただけたらと思います。