高まる企業のサイバーリスク

サイバーリスクとは、サイバーセキュリティリスクとも呼ばれ、サイバーセキュリティに関連して不具合が生じ、企業の経営に何らかの影響がおよぶ可能性を指します。具体的には、企業が保有する情報資産やシステムに潜んでいる潜在的な脅威や危険性のことをいいます。

サイバーリスクが生じている状態をそのまま放置すれば、情報漏えいや改ざん、システムの停止等の被害につながる恐れがあり、企業の事業活動に大きな影響が出てくるでしょう。

警察庁が公表している「サイバー空間をめぐる脅威の情勢等について」の最新資料によると、警察庁が検知した脆弱性探索行為等の不審なアクセス件数は、1日・1IPアドレス当たり9,605.7件にのぼっており、高水準が続いています。サイバー攻撃は一部の大企業だけの問題ではなく、中小企業を含めた幅広い企業にとって、日常的に備えるべき経営課題になっています。

サイバー攻撃が急増している背景

働き方の変化

大きな理由の一つとして挙げられるのが、“働き方の変化”です。従来までのオフィス勤務では、ネットワークや端末に一定のセキュリティ対策が講じられた安全な環境のもとで業務を行うことができました。

しかし、テレワークの急速な普及に伴い、セキュリティ対策が不十分な私有端末の業務使用や外部ネットワークを経由した社内システムへのアクセスが増加したほか、Web会議等の業務環境が加わったことで、新たな脆弱性（情報セキュリティ上の欠陥・弱点）が浮き彫りとなっています。

その他の理由としては、“RaaS（Ransomware as a Service）” の拡大です。RaaSとは、ランサムウェア（※）によるサイバー攻撃を不正なサービスとして提供・実行するビジネスモデルのことです。

これにより、高度なハッキング技術を持っていなくても容易に攻撃を仕掛けることができるようになったため、ランサムウェアによる被害件数は年々増加しています。またRaaSは、“ダークウェブ”で頻繁に取引されています。

※ランサムウェアとは
PCのロックやファイルの暗号化により使用不能にした後で、元に戻すことと引き換えに“身代金(Ransom)”を要求する不正プログラムのこと

犯罪の温床ダークウェブ

ダークウェブとはインターネット上の“闇市場”のことであり、サイバー攻撃によって奪われた企業や個人情報等の機密情報が高額で売買されています。攻撃者が盗んだデータや情報を換金する仕組みがビジネスとして確立されており、ダークウェブは日々拡大、成長を続けています。

ダークウェブにアクセスするためには、特定のソフトウェア、設定、認証が必要となるため、通常の検索エンジン等では見つけることができません。近年では機密情報のほか、違法薬物や銃器、サイバー攻撃ツールの売買や犯罪組織の思想普及・連絡手段の場としても利用されており、犯罪の温床となっています。

ランサム攻撃による被害の深刻化

特に警戒したいのがランサム攻撃です。ランサムウェアは、端末やサーバのデータを暗号化して利用できない状態にした上で、復号と引き換えに金銭を要求する不正プログラムです。近年は、暗号化に加えてデータをあらかじめ窃取し、「支払わなければ当該データを公開する」と脅すダブルエクストーションが主流になっています。

警察庁によると、2024年中のランサムウェア被害報告件数は222件で高水準が続いており、中小企業の被害は140件にのぼります。また、対価要求型の被害134件のうち、111件（82.8％）がダブルエクストーションでした。被害に遭うと、業務停止や顧客対応、復旧対応に追われるだけでなく、情報漏えいによる信用低下や取引先への影響にもつながりかねません。

多様化する攻撃手段

サイバー攻撃の手口は年々多様化しており、従来から警戒されてきたランサム攻撃や標的型攻撃に加え、取引先や委託先を踏み台にするサプライチェーン攻撃、システムの脆弱性を悪用した攻撃等、企業が想定すべきリスクは広がっています。

IPAが公表した「情報セキュリティ10大脅威 2026 [組織]」では、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」となっており、これらが引き続き企業にとって重要な脅威であることがわかります。さらに、「AIの利用をめぐるサイバーリスク」が初選出で3位となっており、新たな技術の活用拡大に伴うリスクにも目を向ける必要があります。

このように、サイバー攻撃の手段は多様化しているため、企業の経営課題としてサイバーリスクを捉え、セキュリティ対策を行っていく必要があるといえます。

中小企業をターゲットにしたサプライチェーン攻撃の増加

近年、サプライチェーン上の弱点を狙って攻撃対象への侵入を図るサイバー攻撃が顕在化・高度化しています。中小企業が十分な対策を講じていない場合、自社が被害を受けるだけでなく、取引先への情報流出やサービス停止、さらには自社が踏み台となって他社への攻撃に悪用されるおそれもあります。

サプライチェーン攻撃では、攻撃者が最初から大企業や主要な取引先を直接狙うとは限りません。セキュリティ対策が比較的手薄な取引先企業に侵入し、そこからメールアカウントやシステムを悪用して、最終的なターゲット企業へ攻撃を仕掛けるケースがあります。

図のように、攻撃者は対策が甘い企業を足がかりにし、正規ユーザーを装ってメールを送信したり、マルウェアを送り込んだりします。また、取引先企業が保有する契約情報、技術情報、顧客情報等の機密情報が盗まれることで、自社だけでなく取引先にも被害が広がる可能性があります。

一方で、中小企業側の対策にはまだ課題もあります。IPAの2024年度調査では、OSやソフトウェアの最新化、ウイルス対策ソフトの導入といった基本的な対策は7割前後の企業で実施されている一方、「新たな脅威や攻撃の手口を社内共有する仕組み」「情報セキュリティ対策のルール化」「セキュリティ事故に備えた緊急時の体制整備や対応手順の作成」は4割前後にとどまっています。

また、同調査では、発注元企業から情報セキュリティに関する要請を受けた経験がある企業は1割強となっており、対策を進める上では、費用負担や契約内容の整理、専門人材の確保・育成等が課題として挙げられています。

そのため、中小企業にとってのサイバーセキュリティ対策は、自社を守るためだけのものではありません。取引先や顧客から信頼され、サプライチェーン全体の安全性を保つためにも重要な取組です。

情報漏えい時の通知・報告の義務化

2022年4月1日から施行された改正個人情報保護法によって、サイバー攻撃等による情報漏えい時の本人への通知や個人情報保護委員会への報告は「義務化」されています。法改正によって、顧客や取引先にセキュリティレベルの低い企業と判断されれば、業績に影響が出てしまう懸念があります。

また、違反した企業に対しては、個人情報保護委員会から、違反行為を是正するように勧告や命令が出せる規定が新たに設けられている点も押さえておく必要があるでしょう。命令違反をした企業名は公表される可能性があることに加え、1億円以下の罰金刑に処される罰則規定も新たに設けられました。

法改正や新たに設けられた規定によって、セキュリティ対策を講じる企業や従前の対策を見直す企業が増えています。

中小企業ができるサプライチェーン攻撃対策

中小企業が取り組めるサプライチェーン攻撃対策として、「VPNの多要素認証」が挙げられます。VPN（Virtual Private Network）とは「仮想プライベートネットワーク」のことであり、インターネット上でプライバシーやセキュリティを保護しながら、安全にデータ通信を行うための技術をいいます。

リモートワークの増加によってメール等でのやりとりが多くなったことで、VPNの脆弱性を狙ったランサム攻撃が急増していることを押さえておきましょう。ランサム攻撃の対策としては、VPNの多要素認証を設定することがとても有効であるといえます。

ランサムウェア等に侵入されることを前提として、次に紹介するASMやEDRを用いた対策を行っていく必要があります。

ASM

（引用：経済産業省『「ASM（Attack Surface Management）導入ガイダンス～外部から把握出来る情報を用いて自組織のIT資産を発見し管理する～」を取りまとめました』）

サイバー攻撃が年々、多様化・巧妙化する流れの中で、従来のウイルス対策ソフトだけでウイルスの侵入を防ぐのは難しくなっています。そのため、ASMやEDRといった仕組みが注目されており、サイバー攻撃の脅威を防ぐ手段として活用されています。

ASM（Attack Surface Management）とは、サイバー攻撃者の視点でアクセスが行えるIT資産を洗い出し、個々に存在する脆弱性等のリスクを継続的に検出・評価する一連のプロセスのことです。ASMは実際にサイバー攻撃を受ける前の予防段階で行われるものであり、事前の備えである点を押さえておきましょう。

EDR

EDR（Endpoint Detection and Response）は、未知のマルウェア等の不審な動きを検知して、マルウェアに感染した後の対応を速やかに行えるようにするための内部対策を指します。PCやスマートフォン、サーバといった端末における脅威や異常を検知した場合、速やかに隔離するといった形で被害の拡大を防ぎます。

ウイルス対策ソフトでは、新たなマルウェアを検知することができませんでしたが、EDRであれば端末の不審な動作から異常を検知することが可能です。EDRを活用することで、問題の早期発見を行うことができ、必要な対応を取れるようになります。

（引用：東京都産業労働局『令和６年度中小企業サイバーセキュリティ 基本対策事業　事業説明会』）

【参考資料】

関連資料・サービスメニュー

サイバーセキュリティ対策に役立つ資料やサービスをご用意していますので、ご利用ください（会員登録が必要なものがあります）。

【冊子】企業を取り巻くサイバーリスク

企業を取り巻くサイバーリスクについて、わかりやすく解説しています。

サイバーセキュリティ基本態勢診断（簡易版）

25問の質問に回答いただくことで、Web上で診断結果が表示されます。

サイバーセキュリティ基本態勢診断（詳細版）

25問の質問に回答いただくことで、企業のセキュリティ対策の度合いを点数付けします。（対象：法人会員）

【ASM資料】5分でわかるASM！

近年注目されているセキュリティ対策の１つであるASM（Attack Surface Management、アタックサーフェスマネジメント）の基本概念や活用方法等を解説します。
※三井住友海上ではASMサービスとして、「MS&ADサイバーリスクファインダー」をご提供しています。

【ASM資料】後悔しないASM導入

小規模から大規模、さまざまな業界の約4,000社のアンケート結果を踏まえて、ASMの導入率、導入の目的、重視するポイント、導入後の満足度、人気ソリューションのランキング、利用料金等、ASMに関心のあるセキュリティ担当者の皆さまへ導入検討のきっかけとなる情報をお届けします。
※三井住友海上ではASMサービスとして、「MS&ADサイバーリスクファインダー」をご提供しています。

無料

【ASMサービス】MS&ADサイバーリスクファインダー

ネットワーク上の攻撃面（Attack Surface）を外部から確認し、脆弱性の有無を診断するサービスです。会社・団体のメールアドレス（※）をもとに診断レポートを作成します。
※フリーメールアドレス等、一部診断対象外のメールアドレスがあります。

【EDR】防検サイバー・見守るサイバーモード

EDR（Endpoint Detection and Response）は業務に使用しているパソコンなどの端末に1台ずつ専用ソフトをインストールすることでサイバー攻撃の被害拡大を防止する効果があります。まずは、EDRと他のセキュリティ商品の役割の違いについて分かりやすく解説している「サービス説明動画」をご覧ください。

標的型メール訓練サービス

標的型攻撃を巧妙に模した「訓練メール」を訓練参加者に送信し、その対応を個々に評価し、適切な対応が行えるよう支援します。（対象：法人会員）

「SECURITY ACTION二つ星」宣言支援

以下のコンサルティングメニューをご提供します。 （１）「5分でできる！情報セキュリティ自社診断」結果に基づく助言・コンサルティング　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 （２）情報セキュリティ基本方針・規程等の策定支援

このページをシェアする