このたび、中小企業の経営者、役員、管理部門の責任者、IT兼任担当者に向けたKindleシリーズ、『会社を止めないセキュリティ』全5巻を出版しました。
本シリーズの出発点は、次の言葉です。
「社長、会社が止まっています」
社員は出社している。
電気も来ている。
工場の機械も動いている。
それでも、受注データ、生産計画、最新の図面、在庫、出荷情報を確認できなければ、会社は仕事を続けられません。
会社を止めるのは、パソコンの故障だけではありません。
メールやクラウドのアカウントを乗っ取られる。
本物そっくりの指示によって、偽の口座へ送金してしまう。
情報漏えいの調査、報告、謝罪、問い合わせ対応に追われる。
取引先、委託先、クラウドサービスの事故に巻き込まれる。
バックアップがあっても、実際には業務を再開できない。
こうした事故は、単なる「ITの問題」ではありません。
受注を続けられるか。
製品を出荷できるか。
請求し、代金を受け取れるか。
顧客や取引先へ正しく説明できるか。
つまり、会社の仕事と経営に直結する問題です。
そこで私は、情報セキュリティを難しい専門用語ではなく、会社の仕事と経営の言葉で理解し、実際の行動へつなげるためのシリーズとして、この全5巻を執筆しました。
本シリーズで伝えたいこと
セキュリティ対策というと、ウイルス対策ソフト、ファイアウォール、パスワード、監視サービスなど、製品や技術の話が中心になりがちです。
しかし、中小企業の経営者が最初に決めるべきことは、「何を買うか」ではありません。
- どの仕事を守るのか
- 何時間まで止められるのか
- 誰が判断するのか
- 事故時に何を止め、何を続けるのか
- 誰へ、いつまでに連絡するのか
- どの仕事から再開するのか
- 実施した対策を、どの記録で説明するのか
こうした事項を決めなければ、高額な製品を導入しても、会社を守る仕組みにはなりません。
本シリーズでは、セキュリティ対策を次の順番で整理しています。
知る。
決める。
閉じる。
戻す。
説明する。
第1巻 会社はなぜ止まるのか
『会社を止めないセキュリティ 第1巻 会社はなぜ止まるのか――小さな会社を襲う五つのセキュリティ事故』
第1巻では、会社を止める危険の全体像を扱います。
攻撃者は、会社の知名度や従業員数だけを見ているわけではありません。
インターネット上から利用できる機器、ログイン画面、古いソフトウェア、流出したIDやパスワードなど、外から見える「入口」が先に見つかり、その後で会社の業務や取引先、保有する情報が調べられることがあります。
本書では、セキュリティ事故を難しい攻撃名ではなく、**「会社の何が使えなくなるのか」**という観点から、次の五つに整理しました。
- データやシステムが使えなくなる
ランサム攻撃・データ停止 - 会社の名前で勝手に連絡される
メール・クラウドのアカウント乗っ取り - 本物に見える指示で送金してしまう
ビジネスメール詐欺・不正送金 - 調査、報告、謝罪に追われる
情報漏えい - 自社に原因がなくても仕事が止まる
取引先・委託先・クラウドサービスの事故
また、事故の被害を左右する三つの時間として、次の点を解説しています。
- 異変に気づくまでの時間
- 止める判断をするまでの時間
- 安全に仕事を戻すまでの時間
事故が起きた直後に、経営者が最初に確認する五つの質問も整理しました。
- 今、何が止まっているのか
- 安全に続けられる仕事は何か
- 被害はどこまで広がっている可能性があるか
- 誰に、いつまでに連絡する必要があるか
- 次の判断を、誰が、何時に行うのか
原因がまだ分からなくても、分かっていること、分かっていないこと、次に確認すること、次の報告時刻を明確にすれば、会社は判断を続けられます。
第2巻 社長が決めるセキュリティ
『会社を止めないセキュリティ 第2巻 社長が決めるセキュリティ――守る仕事、優先順位、役割分担を一枚で決める』
「全部は無理だ」
人も、予算も、時間も限られている中小企業にとって、この言葉は間違いではありません。
問題は、その次です。
「では、どれから始めるのか」
ここまで決めて、初めてセキュリティ対策は経営判断になります。
第2巻では、技術上の問題を、社長が判断できる経営の言葉へ置き換えます。
例えば、「危険度の高い脆弱性があります」という報告だけでは、経営者は判断できません。
- 放置すると、どの仕事が止まるのか
- 何時間、何日止まる可能性があるのか
- 顧客、納期、売上、資金繰りへどう影響するのか
- いつまでに判断する必要があるのか
- いくらかかるのか
- ほかにどのような選択肢があるのか
- 対策後にも、どの危険が残るのか
本書では、これらを整理するため、次の四つの資料を作ります。
1．経営判断メモ
技術上の問題を、影響を受ける仕事、停止期間、顧客への影響、費用、対応案、残る危険、決定期限へ置き換えます。
報告の終点を「危険です」ではなく、**「社長に、何を、いつまでに決めてほしいのか」**へ変えます。
2．守るものマップ
受注、製造、出荷、請求、入金などの重要な仕事と、それに必要な情報、設備、クラウド、担当者、外部事業者、許容停止時間、代替手段を一枚につなげます。
3．守る順番表
すべての改善を同時に進めるのではなく、重要な三件から五件へ人員、時間、予算を集中させます。
後回しにする項目にも、担当者、見直し日、優先順位を上げる条件を残します。
4．社長・担当者・IT業者の役割分担表
役割を、次のように整理します。
社長は決める。
担当者はつなぐ。
IT業者は技術で支える。
IT業者へ任せることと、経営判断まで任せることは同じではありません。
第3巻 会社の入口を閉じる
『会社を止めないセキュリティ 第3巻 会社の入口を閉じる――パソコン、アカウント、クラウド、スマートフォン、生成AIの守り方』
「まだ動いているから、大丈夫」
その判断が、会社の入口を開けたままにしているかもしれません。
パソコンやクラウドが正常に動いていても、次のような問題が残っていることがあります。
- サポートが終了したパソコンを使い続けている
- 使用していないアカウントが残っている
- 退職者がクラウドへログインできる
- 複数人が一つの管理者IDを共有している
- Webサイトの管理者や緊急連絡先が分からない
- クラウド上の資料が広く公開されている
- スマートフォンを紛失しても、会社が利用を止められない
- 利用条件を確認していない生成AIへ顧客資料を入力している
問題は、便利な道具を使うことではありません。
誰が使うのか。
何を入れてよいのか。
どこまで見せてよいのか。
異動、退職、紛失、事故のときに誰が止めるのか。
これらが決まっていないことが問題です。
本書では、会社の入口を閉じる行動を、次の四つに整理しました。
- 使っていないものを減らす
- 古いものを更新する
- 利用できる人や場所を絞る
- 異変を記録し、確認できるようにする
アカウント管理については、パスワードの複雑さだけでなく、誰に権限を与え、いつ回収し、担当者不在時に会社がどう取り戻すかまで扱います。
また、クラウドを会社の仕事場として管理する方法、スマートフォン紛失時の対応、生成AIの利用ルールについても解説しています。
生成AIについては、単に禁止するのではなく、次の事項を会社として決めます。
- 利用を認めるサービス
- 利用できる社員
- 入力してよい情報と、入力してはいけない情報
- 生成結果を確認する人
- 社外へ出す前の確認方法
- メールやクラウドと連携できる範囲
- 事故や退職時に利用を止める方法
最初から広い権限を与えるのではなく、閲覧から始め、少人数で試し、人の確認を入れながら利用範囲を広げる方法を示しています。
第4巻 止まっても戻せる会社をつくる
『会社を止めないセキュリティ 第4巻 止まっても戻せる会社をつくる――バックアップ、初動72時間、机上演習の実践』
「バックアップは毎晩取っています」
その一言だけで、本当に会社を戻せるでしょうか。
バックアップも同時に暗号化されている。
復元用のパスワードが分からない。
データは戻ったが業務ソフトで開けない。
ファイルは開けても受注や出荷を再開できない。
手順を知る担当者が不在で、誰も作業できない。
バックアップがあることと、会社の仕事を戻せることは同じではありません。
第4巻では、バックアップを次の五つの行動で確認します。
取る。
重要な仕事に必要なデータを保存する。
離す。
元のデータと一緒に失われない場所や管理方法に分ける。
残す。
事故発生前へ戻れるよう、複数時点のデータを残す。
戻す。
実際にデータを復元する。
確かめる。
受注、出荷、請求などの仕事を再開できることまで確認する。
さらに、人は間違えるという前提で、社員が30秒以内に最初の行動を説明できる、短いルールを作ります。
事故発覚後の最初の72時間については、次の五つの行動で整理しました。
- 止める
- 残す
- 決める
- 知らせる
- 戻す
ここでいう72時間は、すべての事故に共通する法的期限ではなく、事故直後の混乱を整理するための実務上の行動モデルです。
また、責任者が不在、通常のメールが使えない、IT業者へ連絡できないといった状況を想定し、社長、業務責任者、担当者、IT業者が判断を確認する机上演習も扱います。
演習で答えられない項目が見つかることは失敗ではありません。
演習で見つけた問題を放置することが、会社の弱点になります。
第5巻 取引先に選ばれるセキュリティ
『会社を止めないセキュリティ 第5巻 取引先に選ばれるセキュリティ――委託先管理、証拠づくり、90日計画の実践』
「セキュリティ対策は実施しています」
そう回答した後、取引先から次の質問が届きます。
「確認できる資料も提出してください」
その瞬間、社内の回答が止まることがあります。
バックアップは動いているはずだが、最後に復元した日は分からない。
社員教育は行っているが、実施日や参加者の記録がない。
退職者のアカウントは停止していると思うが、確認した一覧がない。
IT業者へ任せているが、契約範囲や事故時の連絡先が分からない。
「対策しているつもり」と、「実施した事実を説明できること」は同じではありません。
第5巻では、次の三つを扱います。
1．委託先、クラウド、IT業者を含めて守る
外部へ業務を任せても、自社の責任までなくなるわけではありません。
重要な委託先について、選定、契約、利用開始、定期確認、事故対応、契約終了までを管理します。
IT業者へ管理を任せても、会社名義、管理者権限、復旧手段、データを取り戻す力は自社に残します。
2．取引先に説明できる証拠をそろえる
説明資料を、次の三段構えで整理します。
- 一枚のセキュリティ概要
- 証拠台帳
- 根拠となる原本
アカウント確認、バックアップ、復元テスト、社員教育、更新、委託先確認、事故対応、机上演習などの記録を、日常業務の結果として残します。
取引先の質問票にも「はい」だけで答えず、対象、実施内容、頻度、最新実績、根拠資料、例外と改善予定を加えます。
記録が見つからないときに、過去の日付で作ったように見せてはいけません。
現在の状態を確認し、現在の日付で記録し、未実施、一部実施、確認中を正直に使い分けます。
3．重要な改善を90日で一巡させる
90日でセキュリティを完成させるのではありません。
重要な三件から五件について、決める、実行する、確かめるという最初の一周を行います。
- 1日目から30日目：見える状態にする
- 31日目から60日目：動く状態にする
- 61日目から90日目：確かめる状態にする
90日目にすべての問題が解決している必要はありません。
問題の場所、担当者、期限、確認方法、一時対策、残る危険、次回確認日が決まっていれば、改善は管理可能な状態になります。
未完了があることは失敗ではありません。未完了の項目を、誰も管理していないことが失敗です。
5巻を通して、セキュリティを日常の仕事へ
本シリーズは、次の流れで構成しています。
第1巻で、会社を止める事故を知る。
第2巻で、守る仕事、優先順位、役割分担を決める。
第3巻で、パソコン、アカウント、クラウド、スマートフォン、生成AIの入口を管理する。
第4巻で、バックアップ、事故対応、復旧、机上演習を整える。
第5巻で、委託先管理、証拠づくり、90日計画へつなげる。
セキュリティ対策の目的は、攻撃を一度も受けない完璧な会社を作ることではありません。
異変に早く気づく。
被害が広がる前に止める。
重要な仕事を守る。
必要な相手へ正しく伝える。
安全を確認した仕事から戻す。
実施した対策を記録し、改善を続ける。
事故が起きても迷わず動き、被害を小さくし、もう一度仕事を始められる会社を作ることです。
私がこのシリーズで伝えたかったのは、セキュリティは一部の専門家だけが行う特別な仕事ではなく、会社を継続するための日常的な経営管理であるということです。
自社の課題に近い一冊から、ぜひお読みください。
Kindle版のご案内
販売価格、配信条件、Kindle Unlimitedの対象状況などは変更される場合があります。最新情報は各Amazon商品ページでご確認ください。
