〇 従来型の境界型防御を脱し、セキュリティーを強化するにはどうすればいいか。理想像は既に示されている。「ゼロトラスト」に基づく対策だ。ただし日本企業にとって道のりは長い。まずは足元の対策を固めよう。
「中小の企業や病院、自治体の中には、セキュリティー対策が極端に弱いところがある。今すぐセキュリティー点検をしてほしい」。立命館大学情報理工学部の上原哲太郎教授はこう呼びかける。
兵庫県芦屋市のCIO補佐官を長く務める上原教授は、ランサムウエア被害を受けた企業や病院が設けた有識者による調査委員会の責任者を務めるなど、公共・民間のセキュリティー対策事情に詳しい。
危ないのは規模の小さな組織との認識は、産業界にも広がる。2022年2月に自動車部品メーカーの小島プレス工業がマルウエア攻撃を受けた際には、サプライチェーン（供給網）全体に大きな影響が及び、小島プレス工業から部品を調達するトヨタ自動車は国内工場全てで1日の稼働停止を強いられた。
サイバー攻撃は海外からが多いと考えられるが、狙われるのは著名企業だけではない。サプライチェーンを担う企業のセキュリティーリスクにも目を配る必要がある。
そこで今回日経コンピュータは、上原教授の指摘の下、全業種の中小企業や自治体が点検すべき10項目をまとめた。
まずはバックアップを確認。
最優先で点検すべきはバックアップだ。ランサムウエア被害に遭った大阪急性期・総合医療センターは、磁気テープに保存していたバックアップが無事だったため、業務復旧にこぎ着けられた。「クラウドバックアップなど遠隔地保存も検討してほしい」（上原教授）。
OSやミドルウエア、VPN（仮想私設網）装置などの適切なアップデートも欠かせない。脆弱性が放置されたVPN装置から攻撃者に侵入されるケースが近年は多発している。
システムインテグレーターの設定したRDPに注意。
パソコンやサーバーでWindowsのリモートデスクトップ接続（RDP）が有効になっていて、それを攻撃者に狙われるケースも多い。大阪急性期・総合医療センターでもRDPが悪用された。「システムインテグレーター（SI）が保守を目的にRDPを有効にする場合が多いので、必ず確認してほしい」（上原教授）。
IDやパスワード管理の見直しも急務だ。「ランサムウエアの被害に遭う一番の原因は、パスワード管理の弱さ」（上原教授）だからだ。複数のユーザーでパスワードが同一といったケースは論外。現場からの要望でパスワードを共用しているケースもあるが「ログオンに要する手間への不満がある場合は、ICカード認証や生体認証デバイスを組み合わせる工夫で解決できる」（同）。
上原教授は「誰が自社のネットワーク構成を把握しているのか。そこも確認してほしい」と訴える。中小企業の中にはネットワーク構築がSI任せで、SIが伝えた情報も担当者の異動などによって分からなくなるケースが少なくない。社内ネットワークの中に把握していない端末は存在しないか。IT環境の“衛生管理”が不可欠だ。
これら基本的な対策を徹底すれば、VPNの脆弱性を総当たり式で狙うようなサイバー攻撃はある程度防げるだろう。
