経営視点で考える、セキュリティ対策はどこまでやるべき？
- 恭兵 小松
- 2025年12月10日
- 読了時間: 5分
こんにちは、FXT代表の小松です。
当社はセキュリティ企業として、主に「ゼロトラストセキュリティ/SASE」分野の製品・ソリューションを提供しています。職業柄、経営者の方々から『うちの会社のセキュリティ対策は大丈夫か？』と聞かれることがよくあります。
その時、私は正直にこうお伝えしています。 『セキュリティ対策に"100%"はありません』と。
実際に、世界的な大手ITベンダーでさえもサイバー攻撃の被害に遭っています。
では、「どうせ守りきれないなら、売上に直結しないセキュリティ対策なんてやらなくていい」のでしょうか？ そう考える経営者がいても不思議ではありません。また、「うちに盗まれて困るような機密情報はない」なんて声もよく耳にします。
今日は、経営者として「セキュリティはどこまで、何をすればいいのか。」について、その根本から一緒に考えたいと思います。
そもそも、なぜサイバー攻撃が起こるのか
1. 攻撃の「産業化」と「政治的背景」
かつてのような「愉快犯が目立とうとしてウイルスをばら撒く」時代は終わりました。現在のサイバー攻撃の背景には、明確な「金銭的利益」と「政治的意図」が大きくあります。近年、特に脅威なのが、サイバー攻撃の産業化です。
「RaaS（Ransomware as a Service）」と呼ばれる攻撃キットが、闇市場で安価に売買されており、高度な技術がない犯罪者でも、企業を攻撃して身代金を要求することが容易になりました。 また、国家間の対立を背景に、敵国の経済活動を混乱させる目的で、重要インフラやサプライチェーンを狙う組織的な攻撃も増加しています。
2. 「盗むものがない」企業も標的になる
「うちは中小企業だから」「重要なデータはないから」という油断は禁物です。
攻撃者は、セキュリティの堅固な大企業を直接攻めるのではなく、取引先である中小企業を踏み台（サプライチェーン攻撃）にして侵入したり、自社のサーバーを他社への攻撃の「発信源」として悪用したりします。 つまり、自社の情報資産の有無にかかわらず、「ネットに繋がっている」だけで攻撃対象となり、加害者になってしまうリスクがあるのです。
3. AIの台頭による脅威の高度化
近年、最も脅威を増幅させているのがAIです。
これまでの「不自然な日本語のメール」によるバラマキ攻撃とは異なり、生成AIを悪用することで、極めて自然で業務内容に即したフィッシングメールが作成されるようになりました。「バラマキ」の数が増えるだけでなく、その「質」が格段に向上しており、従来の従業員教育や単純なフィルタリングだけでは防ぎきれないフェーズに入っています。
経営リスクとしての「被害損害」
実際に被害を受けた場合、担当者の始末書では済みません。経営そのものの根幹を揺るがす事態となる可能性を秘めております。
直接的な金銭被害: ランサムウェアによる身代金要求、復旧費用。
機会損失: システム停止による工場の稼働停止、Webサービスのダウンによる売上減。
信用の失墜: 取引先からの取引停止、損害賠償請求、ブランドイメージの毀損。特にサプライチェーンからの排除は、企業の存続に関わる致命傷となり得ます。
【経営判断】どこまでやるべきか？ 4つのセキュリティ対策指針
「100%の防御」が不可能な以上、闇雲にツールを入れるのではなく、優先順位をつけた対策が必要です。
【対策1】最も重要な「自社資産」の棚卸と優先順位
守るべきものが分からなければ、守りようがありません。まずは自社のビジネスの核となる資産を見極めることから始めましょう。
例）
製造業: 工場の生産ライン制御システム、製品の設計図面
Webサービス業: 顧客データベース、サービス基盤
小売業: POSデータ、発注システム
これら「止まったら会社が潰れる」「漏れたら終わる」資産こそが、最優先で守るべき「本丸」です。
【対策2】社員の業務環境の保護
対策1の「本丸」を守るためには、実は「社員が日常使う、『ID』、『端末』、『ネットワーク』」を守ることが不可欠です。 なぜなら、攻撃者の多くは、まずセキュリティの甘い従業員のPCやクラウドのアカウント狙ったり、安全だと思っているVPN機器を通じ正規の権限を乗っ取り、「本丸」へ侵入するからです。
働き方がオフィスからリモートへ、データセンターのシステムがクラウドへと変わる中、「社内だから安全」ではなく、アクセスする「人（ID）」と「端末」と「ネットワーク」の保護方法を、新しく作り変える必要があります。
【対策3】「攻撃に気づく」仕組み作り
ここも非常に重要なポイントです。
前述の通り、侵入を100%防ぐことは不可能です。であれば、「侵入されることを前提」に対策をシフトする必要があります。 最悪なのは、攻撃に気づかず、数ヶ月間も情報を抜かれ続けることです。
いつ、誰が、どのデータにアクセスしたか
普段と違う不審な動きはないか これらを通信ログとして残し、可視化できる仕組み（EDRやNDR、SIEMなど）を導入することで、被害を最小限に食い止めることができます。
【対策4】社員の教育
技術的な対策に加え、最後は「人」です。
巧妙化するAIメールやフィッシング詐欺に対し、従業員が「怪しい」と気づけるリテラシーを持つことは、強力な防御壁となります。定期的な訓練と、報告しやすい文化作りが重要です。
まとめ：防御から事業を止めないセキュリティ対策と体制構築へ
サイバー攻撃は、もはや自然災害と同じように「いつか起こるもの」として捉えるべきです。 地震を止めることはできませんが、耐震構造にして被害を減らしたり、避難訓練をして命を守ったりすることはできます。
セキュリティも同様です。「絶対に侵入させない（防御）」ことを考えるのではなく、優先順位を見極め、 「侵入されてもすぐに検知し、事業を止めない体制」を作ること。
これが、変化の激しい現代において、目指すべきセキュリティのゴールであると考えます。
FXTでは、お客様のビジネス環境に合わせ、「守るべき資産」の整理から「侵入を前提とした可視化・制御」まで、最適なバランスでのセキュリティ対策をご提案いたします。 「何から手をつければいいか分からない」という段階でも構いません。ぜひ一度、ご相談ください。
