小さな会社にも守るべき情報がある
「うちのような小さな会社には、盗まれる情報などない」
そう考えていませんか？
製造業には、取引先から預かった図面や仕様書、見積金額、加工条件、従業員の個人情報など、外部に漏らしてはいけない情報があります。
また、情報が盗まれなくても、パソコンやデータが使えなくなれば、見積り、製造、出荷、請求といった日常業務が止まってしまいます。
結論として、情報セキュリティはパソコンだけの問題ではありません。
取引先から預かった情報を守り、トラブルが起きても仕事を続けられるようにするための経営課題です。
小さな会社だからこそ、高額なシステムから考えるのではなく、まず基本的な対策ができているかを確認することが重要です。
「詳しい人に任せている」だけでは危ない
小さな会社では、パソコンやネットワークを専門に管理する担当者がいないこともあります。
パソコンに詳しい社員や外部業者に任せたまま、経営者自身が社内の状況を把握していない場合もあるのではないでしょうか。
たとえば、
- 古いパソコンがそのまま使われている
- 同じパスワードを複数のサービスで使っている
- 退職した社員の利用者登録が残っている
- 共有フォルダを必要以上の社員が閲覧できる
- バックアップを取っているつもりだが、戻せるか確認していない
といった状態です。
これまで何も起きなかったことは、これからも安全であることを意味しません。
専門的な設定をすべて経営者自身が行う必要はありません。
しかし、「会社として何を守り、誰がどのように管理しているのか」を経営者が把握しておくことは必要です。
小さな会社を守る6つの基本
1．パソコンやソフトを最新の状態にする
古いOSやソフトウェアを使い続けていると、見つかった弱点が修正されないまま残ることがあります。
まずは、社内にどのようなパソコンやソフトがあるのか確認し、更新が止まっているものがないかを見てみましょう。
使っていない古い機器やソフトが残っていないか確認することも大切です。
2．ウイルス対策機能を有効にし、最新の状態を保つ
パソコンのウイルス対策やセキュリティ機能が正しく動いているか確認します。
「入っているはず」で終わらせず、機能が有効になっているか、更新されているかを確認しておきましょう。
社内で使うパソコンについて、誰が確認するのかを決めておくことも重要です。
3．パスワードを強くし、使い回さない
会社のメール、クラウドサービス、オンラインバンキングなど、多くの業務でIDとパスワードを使います。
短く推測しやすいパスワードや、同じパスワードの使い回しは避けましょう。
できるだけ長く、他人から推測されにくいパスワードを設定し、サービスごとに使い分けます。
また、利用しているサービスで多要素認証を設定できる場合は、あわせて活用することも有効です。
4．共有設定とアクセス権を見直す
図面や顧客情報、見積情報などを、社内の誰もが見られる状態になっていないでしょうか。
情報は、仕事上必要な人だけが閲覧・変更できるようにします。
異動や退職があったときには、不要になった利用者登録やアクセス権をそのまま残さないことも重要です。
「誰が、どの情報を見る必要があるのか」を一度確認してみましょう。
5．重要なデータをバックアップする
重要なデータは、パソコンや社内サーバーとは別の場所にも保存しておきます。
バックアップ用の機器を常にパソコンやネットワークにつないだままにしていると、トラブルによって元のデータと一緒に影響を受ける可能性があります。
そのため、重要なデータは複数の場所に保存することを考えます。
そして、バックアップは「取っている」だけでは十分ではありません。
万一のとき、本当に元へ戻せるかを確認しておくことが大切です。
6．不審なメールや新しい攻撃の手口を知る
セキュリティ対策は、パソコンの設定だけではありません。
取引先や金融機関を装ったメール、不審な添付ファイル、偽のWebサイトへ誘導するメッセージなど、人をだまして情報を盗もうとする手口もあります。
すべての攻撃方法を詳しく覚える必要はありません。
「急いで確認してください」などと判断を急がせるメールが届いたときに、すぐ添付ファイルやリンクを開かず、一度確認する。
そうした基本的な行動を社内で共有しておくことが重要です。
まず「守る情報」と「止めたくない仕事」を確認する
6つの対策を確認するとき、すべてを同じ優先順位で考える必要はありません。
まず、
「外部に漏れたら困る情報は何か」
「なくなったら困るデータは何か」
「どのパソコンやシステムが止まると仕事ができなくなるか」
を考えてみてください。
たとえば製造業なら、図面や加工データだけでなく、見積、受注、出荷、請求に必要な情報も事業継続には欠かせません。
自社にとって重要な情報と業務が分かれば、どこから優先して対策すべきかも考えやすくなります。
情報セキュリティは、すべてを完璧に守ることから始めるのではなく、自社にとって重要なものを把握することから始めます。
トラブルが起きたときの連絡先も決めておく
どれだけ対策をしても、「事故は絶対に起きない」とは言い切れません。
そこで、
「おかしなメールを開いてしまった」
「パソコンに見慣れない画面が表示された」
「重要なデータが開けなくなった」
といったときに、社員が誰へ連絡すればよいのか決めておきましょう。
社内で判断できなければ、契約しているIT事業者など外部の相談先も確認しておきます。
大切なのは、問題が起きた社員が一人で抱え込まず、早く報告できる状態をつくることです。
情報を守ることは、信用と事業を守ること
小さな会社に必要なのは、大企業と同じ設備や専門部署ではありません。
まず必要なのは、
自社がどのような情報を持っているのか。
誰がその情報を使っているのか。
どこに保存されているのか。
どのように守っているのか。
を把握することです。
そして、OSやソフトの更新、パスワード、共有設定、バックアップなど、基本的な対策を一つずつ確認していきます。
情報を守ることは、取引先から預かった信用を守ることです。
同時に、トラブルが起きても事業を続けられる会社をつくることでもあります。
まずは今日、社内で使っているパソコンと重要なデータを一度確認してみてはいかがでしょうか。
そこから、小さな会社の情報セキュリティ対策を始めることができます。
