英国で小売大手M&Sの会長が議会で「サイバー攻撃の通報義務化」を要望したというニュースが話題になっています。実は現役のCSIRTメンバーとして、この動きは非常に重要な意味を持っていると感じています。
なぜなら、サイバー攻撃は国境を越えて発生するため、英国の動きは必ず日本にも影響を与えるからです。今回は、この英国の動きが日本企業にとって何を意味するのか、そして今すぐ取るべき対策について詳しく解説します。
英国M&S会長の発言が示すサイバー攻撃の深刻さ
小売大手マークス・アンド・スペンサー（M&S）の会長が英国議会で「サイバー攻撃の通報義務化」を求めた背景には、企業を狙ったサイバー攻撃の急増があります。
実際に私たちCSIRTが対応した事例を見ても、小売業界への攻撃は年々巧妙化しており、以下のような被害が増加しています：
- 顧客の個人情報（氏名、住所、クレジットカード情報）の大量漏洩
- POSシステムへの不正アクセスによる決済情報の窃取
- ECサイトの改ざんによる偽の決済画面の設置
- ランサムウェアによる業務システムの停止
特に深刻なのは、多くの企業が攻撃を受けても公表しないことです。これにより、同じ手口による被害が拡大し続けているのが現状です。
日本企業が直面するサイバー攻撃の現実
英国の動きを「対岸の火事」と考えるのは危険です。実際に、日本企業も同様の脅威にさらされています。
中小企業を狙った攻撃事例
最近対応した事例をいくつか紹介します（企業名は伏せています）：
事例1：地方の製造業A社
従業員50名の製造業で、社内システムがランサムウェアに感染。生産管理システムが使用不能となり、3日間の操業停止。結果的に約500万円の被害。攻撃の入口は従業員が開いたフィッシングメールでした。
事例2：小売チェーンB社
従業員100名の小売チェーンで、POSシステムに不正アクセス。約2,000件の顧客クレジットカード情報が漏洩。被害総額は損害賠償や信頼回復費用を含めて約2,000万円に上りました。
個人も標的になる時代
企業だけでなく、個人も攻撃の標的になっています。特に在宅勤務が増えた今、個人のデバイスから企業ネットワークへの侵入が増加しています。
実際に発生した個人向けの攻撃例：
- 偽の銀行サイトへ誘導するフィッシングメール
- 在宅勤務者のPCを狙ったリモートアクセス攻撃
- SNSアカウントの乗っ取りによる詐欺
- オンラインショッピングでの決済情報窃取
通報義務化が企業に与える影響
英国で検討されている通報義務化は、日本でも将来的に導入される可能性が高いです。その理由は：
1. 国際的な協調の必要性
サイバー攻撃は国境を越えて発生するため、各国が連携して対策を取る必要があります。英国が先行して通報義務化を進めれば、日本も同様の措置を取る可能性が高いでしょう。
2. 既存法律の強化
日本には既に「個人情報保護法」や「サイバーセキュリティ基本法」がありますが、これらがより厳格に運用される可能性があります。
3. 企業の責任の明確化
通報義務化により、企業はサイバー攻撃を受けた場合の対応手順を明確にする必要があります。これまで曖昧だった責任の所在が明確になるでしょう。
今すぐ取るべき対策
通報義務化を見据えて、企業と個人が今すぐ取るべき対策を整理します。
企業向け対策
1. セキュリティ体制の構築
- CSIRT（Computer Security Incident Response Team）の設置
- インシデント対応マニュアルの作成
- 定期的なセキュリティ監査の実施
2. 技術的対策
- ファイアウォールの適切な設定
- 侵入検知システム（IDS）の導入
- 定期的なセキュリティパッチの適用
3. 従業員教育
- フィッシング攻撃の見分け方
- パスワード管理の徹底
- インシデント発生時の報告手順
特に重要なのが、Webサイトの脆弱性診断です。多くの企業が見落としがちですが、Webサイトは攻撃者にとって最も狙いやすい入口の一つです。定期的なWebサイト脆弱性診断サービス
により、潜在的な脅威を早期に発見することが可能になります。
個人向け対策
1. 基本的なセキュリティ対策
個人でも企業並みのセキュリティ対策が必要な時代です。特に重要なのが、信頼性の高いアンチウイルスソフト
の導入です。最新の脅威に対応できる製品を選ぶことで、マルウェアやフィッシング攻撃から身を守ることができます。
2. 通信の暗号化
在宅勤務やカフェでの作業が増えた今、通信の暗号化は必須です。特に公共Wi-Fiを使用する際は、VPN
を活用して通信を保護することが重要です。
3. 定期的なパスワード変更
- 複雑なパスワードの使用
- パスワード管理ツールの活用
- 二段階認証の設定
フォレンジック調査から見える攻撃の傾向
現場のフォレンジック調査を通じて見えてきた最新の攻撃傾向をお伝えします。
攻撃手法の高度化
1. APT（Advanced Persistent Threat）攻撃
長期間にわたって標的組織に潜伏し、情報を窃取する攻撃が増加しています。発見が困難で、被害も深刻になる傾向があります。
2. サプライチェーン攻撃
直接的な攻撃が困難な企業に対して、取引先や関連企業を経由して攻撃する手法が増えています。中小企業が大企業への「踏み台」として狙われるケースが多発しています。
3. AI を活用した攻撃
人工知能を活用したフィッシングメールの作成や、音声合成技術を使った詐欺が増加しています。従来の手法では見分けが困難なレベルまで精度が向上しています。
被害の深刻化
最近の調査では、以下のような傾向が見られます：
- 平均的な復旧時間：72時間（以前は24時間）
- 平均的な被害金額：中小企業で約800万円、大企業で約3億円
- 事業継続への影響：企業の約60%が一時的な事業停止を経験
将来的な展望
英国の動きを皮切りに、世界的にサイバーセキュリティの法規制が強化される流れは避けられません。日本企業も以下の変化に備える必要があります：
1. 法的要求の厳格化
- サイバー攻撃の24時間以内通報義務
- 被害状況の詳細報告書提出
- 再発防止策の実施義務
2. 企業の社会的責任の拡大
- 顧客への迅速な情報開示
- 被害者への適切な補償
- 業界全体での情報共有
3. 技術的要求の高度化
- リアルタイム監視システムの導入
- 自動的な脅威検知・対応
- 定期的な侵入テストの実施
まとめ：今こそ行動の時
英国M&S会長の発言は、単なる一企業の要望ではなく、世界的なサイバーセキュリティ強化の流れの象徴です。日本企業も、この流れに乗り遅れないよう、今すぐ行動を起こす必要があります。
特に重要なのは：
- 現状の脅威レベルを正確に把握する
定期的な脆弱性診断により、自社のセキュリティ状況を客観的に評価 - 多層防御の実装
アンチウイルスソフト
、VPN
、Webサイト脆弱性診断サービス
などを組み合わせた包括的な対策 - インシデント対応体制の構築
攻撃を受けた際の迅速な対応と適切な情報開示
サイバーセキュリティは「コスト」ではなく「投資」です。今日の対策が、明日の企業の存続を左右する時代になっています。
私たちCSIRTメンバーとして、一人でも多くの方がサイバー攻撃の被害に遭わないよう、適切な対策を講じていただければと思います。
