日本企業のサイバー攻撃対策はなぜ難しい？大企業の被害から考える3つの課題と解決策

目的

日本企業のサイバー攻撃対策を、教育・人材育成、組織文化、システム外注の観点から分析します。大企業だけでなく、中小企業でも実践できる改善策を紹介します。

背景・経緯

「大企業でさえサイバー攻撃を防げないなら、自社はどうすればよいのか」

企業の情報漏洩やシステム停止の報道を見て、不安を感じる経営者は少なくないでしょう。サーバーへの不正アクセスやランサムウェア被害は、IT部門だけの問題ではありません。受発注の停止、出荷の遅延、顧客対応の混乱など、事業全体に影響します。

では、セキュリティ製品を追加すれば解決するのでしょうか。

答えは、製品だけでは不十分です。防御力を支えるのは、人材、意思決定、そして日々の運用です。

なお、報道が目立つことと、実際の被害件数が増加していることは同じではありません。直近の国内被害件数・増減率、個別事件の原因は要確認です。本稿では、日本企業全体が海外より弱いとは断定せず、企業が点検すべき構造的な課題を解説します。

本文／依頼事項

1．なぜ企業はサイバー攻撃を受けるのか？「侵入」と「被害拡大」を分けて考えます

攻撃者は、金銭や情報の獲得などを目的に、侵入可能なシステムを探します。企業の知名度だけでなく、外部に公開された機器の脆弱性や認証の不備が狙われるため、中小企業も無関係ではありません。

ここで重要なのは、攻撃される理由と、被害が大きくなる理由を区別することです。

教育や組織文化は、個別事件の直接的な侵入原因とは限りません。しかし、更新を実施できるか、異常を発見できるか、事故時に判断できるかを左右する重要な要素です。

2．課題①：暗記・手順中心の人材育成では、想定外に対応しにくい

セキュリティの現場では、常に正解が用意されているわけではありません。

不審な通信を見つけたとき、攻撃なのかを判断する。システムを止める影響と、動かし続けるリスクを比較する。限られた情報から、復旧の優先順位を決める。こうした場面では、知識だけでなく、仮説を立てて検証する力が必要です。

手順を守ることは重要です。しかし、手順の暗記だけを評価すると、「なぜこの対策が必要なのか」を考える機会が不足します。

日本の教育全体を被害の原因と決め付けるのではなく、企業自身の研修や専門人材の処遇も見直す必要があります。

解決策：文系・理系を分断せず、実践で育てます

技術者には経営・法務・業務理解を、経営者や事務職にはデータ・認証・情報管理の基礎を学ぶ機会を設けます。

さらに、次の活動を通常業務に組み込みます。

• 安全な演習環境で、ログ調査や復旧作業を経験します。
• 経営層も参加するシステム停止の机上訓練を行います。
• 事故やヒヤリハットを、個人への非難ではなく改善につなげます。
• 資格取得だけでなく、運用改善や知識共有も評価します。

必要なのは、「知っている人」を増やすだけでなく、「判断して動ける人」を育てることです。

3．課題②：専門性より序列を優先すると、対策が遅れます

「今まで問題がなかった」「更新は来年度でよい」。こうした判断が続けば、古いシステムや未修正の脆弱性が残ります。

新しい取り組みの失敗だけを厳しく評価し、更新を先送りしたリスクを評価しない組織では、現状維持が選ばれやすくなります。

問題は年齢ではありません。専門家の指摘を、予算と行動につなげられるかどうかです。

解決策：若手登用を進め、権限と責任をセットで渡します

若手の専門人材に肩書だけを与えても、改善は進みません。技術選定への発言権、必要な予算、経営層への報告経路を整える必要があります。

経験豊富な人材は、事業理解や危機管理を担い、若手と相互に補完します。年齢や勤続年数ではなく、能力と実績に応じて役割を決めることが重要です。

また、AIの導入が遅いことだけを、サイバー攻撃被害の原因とすることはできません。AIはログ分析や調査を支援しますが、更新漏れや不適切な権限設定を自動的に解決するものではありません。

新技術を試せる環境と、基本対策を確実に実行する仕組み。その両方が必要です。

4．課題③：システム外注で危険なのは、委託ではなく「丸投げ」です

外部の専門企業を活用すること自体は、合理的な選択です。一方、発注企業が構成や運用を把握せず、「外注先が対応しているはず」と考えている状態は危険です。

価格と納期だけを優先した発注、形式的な検収、保守範囲の曖昧さは、対策漏れにつながります。外部開発者の責任感を一律に疑うのではなく、安全性を確保できる契約と管理体制になっているかを確認すべきです。

解決策：開発を委託しても、判断する力は社内に残します

すべてを内製化する必要はありません。ただし、委託先の説明を評価し、事業上のリスクを判断できる役割は必要です。

開発作業は委託できても、事業継続への経営責任は委託できません。

5．海外IT人材の採用を、組織全体の技術力向上につなげます

人材不足への対応として、国内だけでなく世界に採用機会を広げることは有効です。華人・インド系を含む多様な専門家の経験は、新しい設計思想や運用手法を学ぶ機会になります。

ただし、IT能力を民族的な出自や生まれつきの才能と結び付けるべきではありません。評価すべきなのは、個人の実績、専門性、問題解決力、知識を共有する力です。

採用後は、共同設計、コードレビュー、社内勉強会、手順書の整備を業務として位置付けます。言語面の支援や適正な処遇も欠かせません。

優秀な人を採用するだけでは、会社は強くなりません。その人の経験が、組織に残る仕組みが必要です。

6．中小企業のサイバー攻撃対策は、五つの確認から始めます

大企業と同じ予算がなくても、重要業務から優先順位を付けて改善できます。

何を守るか
重要なデータ、システム、停止すると困る業務を整理します。

どこから侵入され得るか
外部公開機器、リモート接続、クラウドの設定と更新状況を確認します。

誰がアクセスできるか
多要素認証を導入し、不要なアカウントや過大な権限を見直します。

本当に復元できるか
バックアップの取得結果だけでなく、復元の可否と所要時間を検証します。

事故時に誰が決めるか
停止、隔離、外部支援の要請について、判断者と連絡経路を決めます。

7．よくある質問

ウイルス対策ソフトがあれば、ランサムウェアを防げますか？

単独では十分ではありません。更新、認証、権限管理、監視、バックアップを組み合わせる必要があります。

クラウドに移行すれば安全ですか？

自動的に安全になるわけではありません。提供事業者と利用企業の責任範囲を確認し、設定、アカウント、データの管理を行います。

人材育成とセキュリティ製品の導入は、どちらを優先すべきですか？

重大な対策漏れへの対応と、人材育成を並行して進めます。製品を導入しても、警告を確認し対応する人や手順がなければ、効果は限定的です。

8．まとめ：守るべきなのは、サーバーだけではありません

企業のサイバー防御力を高めるには、教育、組織文化、外部委託を一体で見直す必要があります。

実践で人を育て、専門性を意思決定に反映し、委託先との責任を明確にする。そのうえで、国内外の専門家の経験を組織全体へ広げます。

目指すべきは、「侵入されない会社」だけでなく、「侵入されても被害を抑え、事業を立て直せる会社」です。

次の経営会議では、まず「重要業務の復旧時間」「更新の責任者」「事故時の判断者」の三点を確認してみてください。答えが曖昧な項目が、改善の出発点です。

期待効果・リスク・費用

• 期待効果：対策漏れの可視化、初動・復旧体制の改善、技術知識の社内蓄積を目指します。
• リスク：改善担当者への業務集中を避け、重要業務から段階的に実施します。
• 費用：対象システム、既存契約、必要な支援範囲に応じた見積額は要確認です。

スケジュール／期限

以下は、対策を実施する場合の目安です。

関連ページ： 情報セキュリティ基本方針 ／ IT基盤サービス ／ 私たちについて