サイバー攻撃を受けて情報が漏洩し、その被害の大きさが大きく報道されるのは大企業ばかりですが、実際にはサイバー攻撃の77％が中小企業を標的としています。中小企業が狙われる理由には以下のようなものがあります。
１．狙いやすい
中小企業の約65％はサイバー攻撃への防御策であるデータ・セキュリティ・ポリシーを策定しておらず、情報の狙いやすさはもちろんのこと、漏洩が発覚するまでに時間がかかることが多いため、サイバー攻撃の標的にしやすいと言われています。
２．リスクが低い
情報漏洩に気づくまでに時間がかかることに関連して、警察に通報されたサイバー犯罪のうち犯人に有罪判決が下るのはわずか10%と言われています。攻撃者にとってはリスクが低いわりに、例えばランサムウェアなど金銭を要求する攻撃については十分なリターンが期待できる対象であるということになります。
３．セキュリティシステムが古い
実際のセキュリティ環境での検証において、攻撃者は96%の中小企業の多層防御セキュリティを突破したというデータがあります。この原因の一つは、中小企業のセキュリティシステムが最新のものでなく、また専任のセキュリティ担当者もいないため、大企業と比べて防御体制がかなり甘いものになっていることにあります。
４．大企業並みに価値のある情報を保有している
情報漏洩の平均損失額は1件あたり217ドルと言われ、これは大企業の損失額とほぼ同額です。つまり、攻撃者にとってはセキュリティの甘い中小企業から情報を窃取したほうがリスクが低いことになります。
さらに、中小企業にとっては新しいセキュリティシステムの導入や信頼の回復などに費用がかかるため、その被害総額は経営を圧迫しかねません。
５．セキュリティに対する意識が低い
中小企業の管理職の58%が、サイバー攻撃を現実に起こる深刻なリスクと見なしていないという調査結果があります。この結果から次のようなことが想定されます。
・セキュリティ対策にかかる予算が計上されない。
・セキュリティシステムのアップデートが行われない。
・セキュリティ専任者を置かない。
・社員に対する情報管理体制についての危機意識が徹底されていない。
このように、中小企業に対する攻撃は世間の注目を集めていないものの、その被害については大企業のそれと変わりません。大企業のようにセキュリティに対して投資を行うことは難しいかもしれませんが、少なくともセキュリティシステムのアップデートと社員教育の徹底は行うべきでしょう。