岡田電機工業株式会社 岡田英城 / 岡田祐作 Okada Hideki / Okada Yusaku

岡田生産本部長 2年前にUTMを導入したことで、間違いなく当社のサイバーセキュリティは強化されました。また、このUTMは5年間の自動更新が保証されていますので、その間は新たな脅威への対応も期待できます。しかし、自分たちで主体的にUTMを100％活用するところまでは至っていません。導入直後にセキュリティレベルを高く設定しすぎて、必要なサイトにアクセスできなくなるなど日常業務に支障が生じたときも、自分たちだけではどうにもならなくて、ベンダの手を借りて適切なレベルに設定し直しました。 また、UTMを使った監視もまだできていないので、どのくらい効果があるのかは見えていません。いわば、セキュリティ対策の“見える化”はまだできていない状況です。いつどのような攻撃を受け、それがUTMによって防御できたという事実が見えるようになり、費用対効果も把握できるようになると、さらにありがたいですね。

実は、2022年の冬にEmotet （エモテット）^*2に似たような攻撃を経験しました。幸い被害は生じなかったのですが、この攻撃もUTMによる監視で発覚したわけではありません。発端は、当社の社員を装ったメールが、別の社員に届いたことです。社員同士だったことから怪しいと気づきました。ZIPファイルが添付されていたのですが、もちろん開いていません。念のために、Emotetに感染したかどうかをチェックするツールで、社内のパソコン全部をチェックしたのですが、1台も感染は確認されませんでした。同時にネットでも調べてみると、同じような事例が紹介されていました。ですので、Emotetの攻撃を受けたのは、ほぼ間違いないとは思いますが、状況証拠に基づく推測の域を出ません。監視機能も含めて、UTMをもっと有効活用する余地があると思いますので、その点が今後の課題だと感じています。

岡田生産本部長 おっしゃるとおりですね。紙の図面などは、これまでもきちんとファイリングし、施錠して管理してきたので、社員誰もが重要な情報資産だという認識はあります。しかし、メールで届くようなデジタルデータは形がないだけに、セキュリティ意識が一朝一夕に高まらないですね。危機感をリアルに感じられないというか……。

そこで、私が入社して担当の社員と一緒に最初に取り組んだのは、ハード的な環境を整備することでした。何度も申し上げているように、ウイルス対策ソフトやUTMの導入ですね。そのうえで、社内の啓発活動はこれからの課題です。今もときどきメールや朝礼の場でセキュリティに関する情報を発信したり、Emotetに感染したときには添付ファイルを開く前に必ず発信元を確認するように注意喚起もしましたが、体系的な教育はまだできていません。それでも情報発信や注意喚起を地道に重ねることは重要なことですので、それによってセキュリティ意識の向上を図っていきたいと考えています。

また、先ほど申し上げたセキュリティ対策の“見える化”が実現し、実際に攻撃を受けたことを社員が共有できるようになれば、マスコミが報道するインシデント例を見聞きするのと比べて、より危機感を持つことができるようになると思います。

岡田生産本部長 自動車工業会の調査に、セキュリティ規程があるかどうか、運用管理者は明記されているかどうかの質問があったので、一応は作成しています。しかし、私のパソコンの中にあるだけで、正直言って実際には活用できていません。ご指摘されて気づきましたが、これも課題ですね。

品質規格であるISO9001に顧客満足項目がありますが、セキュリティ対策の強化は顧客である発注元の要求事項であるととらえて、作成した規定をISO9001のなかで運用するという方法も考えられます。情報セキュリティの規格であるISO27001は、ISO9001やISO14001とは審査機関も異なるので、認証取得するにはコストもかかるし、ハードルも高そうです。ですので、ISO9001のなかで回していくのが、中小企業にとって現実的な方法のように思います。

岡田社長 当社は内製のウエイトが高く、内製していない部品もほとんど標準品を購入していますので、外注しているのは金型の製作ぐらいです。金型の外注先各社とはメールのやり取りはしていますので、そこのセキュリティ対策が不十分であったことが原因で、当社の重要なデータが漏れることもあり得ることです。ですので、サプライチェーン全体のセキュリティ対策も非常に重要ではあります。しかしいまのところ、外注先にサイバーセキュリティ対策の強化を推奨したり、依頼したりはしていません。金型メーカーは小さな工場が多いので、費用面の負担が大きくなってしまいますし、なかなかこちらからセキュリティ機器を導入してください、などとは言えません。もっとも、金型は成型部品製造のコア技術になりますので、どの金型メーカーも従前より金型図が外部に漏れないように慎重に扱っています。その延長線上で今後、サイバーセキュリティの重要性も啓発し、関連する情報提供を積極的に行っていくことは重要ですね。いずれは発注元から外注管理の一環で、外注先のセキュリティ管理も求められるようになるはずです。

　　 社員や外注先の啓発活動もさることながら、私たち経営者自身の意識づけというか、意識改革も重要だと思います。やはり実際に被害にあうまでは、対策をしていなくても、なんとなく“大丈夫“だと思ってしまいがちですので。その点で、商工会議所が主催するサイバーセキュリティをテーマにしたイベントは、有意義な機会になっています。当社の外注先に対しても、商工会議所などから働きかけがあると、たいへんありがたいですね。