個人事業主が安全を守るためのデジタルセキュリティとは
個人事業主がセキュリティインシデントのリスクを未然に防ぎ、事業を安全に進めるための手法を紹介する。
本記事は、ESET社が運営するマルウェア・セキュリティ専門サイト「WeLiveSecurity」の記事を翻訳したものである。
欧州や米国では、およそ7人に1人が個人事業主として働き、自らのキャリアを切り開いている。しかし、フリーランスという自由な働き方にはリスクも伴う。会社員が当然のように享受できる傷病手当や有給休暇、育児休暇は、個人事業主には基本的に適用されない。また、IT部門のサポートが受けられないため、IT関連のトラブルはすべて自己解決する必要がある。
特に、個人事業主や小規模事業者にとってサイバーリスクは深刻な問題になり得る。事業を運営する以上、資金や顧客の機密情報、知的財産が攻撃の標的となる可能性があるからだ。どこにリスクが潜んでいるのか、どのように対策すべきかを理解することが不可欠である。事業の時間を削ってまで情報漏えいの対応に追われたいと考える個人事業主はいないはずだ。
危険に晒されているのは何か？
結局のところ、サイバー犯罪者の目的は金銭を得ることにある。一般的に、個人を標的にするよりも、小規模であっても企業を狙う方が、より多くの利益を得られる可能性が高い。ただし、犯罪者は無差別に攻撃を仕掛けるのではなく、リスクを抑えつつ確実に金銭を得られるターゲットを選ぶ。例えば、適切な保護が施されていないオンラインアカウント、セキュリティソフトが未導入の端末、最新のOSやWebブラウザー、ソフトウェアを利用していないコンピューターなどが狙われやすい。
個人事業主がサイバー攻撃の被害を受けた件数に関する公的なデータは少ない。しかし、限られたリソースしか持たず、ITサポートが十分でない、もしくは存在しない場合、他の企業よりも脅威にさらされるリスクが高くなるのは明白だ。以下に、個人事業主がサイバー攻撃を受けた際に事業へ与える影響を挙げる。
ランサムウェア攻撃によって、クラウドストレージを含む事業関連のファイルが暗号化され、アクセス不能になる。
機密情報を盗み取った上で、不正公開やダークウェブでの売買を持ちかける脅迫を受けることがある。特に、個人を特定できる情報（PII）が含まれている場合、法的なリスクが発生する可能性がある。
パスワード窃盗やブルートフォース攻撃によってアカウントが乗っ取られ、そのアカウントが顧客へのフィッシング詐欺やビジネスメール詐欺（BEC）に悪用される危険性がある。
マルウェアによってオンライン法人口座の認証情報が盗まれ、資金が不正に引き出される可能性がある。
個人事業主への影響
個人事業主が直面する課題は、ITリソースの不足だけにとどまらない。サイバー攻撃による風評被害や、取り返しのつかない経済的損失が発生した場合、その影響は計り知れない。また、多くの場合、顧客との取引関係は公になっていないため、重大な情報漏えいによって関係が断たれたとしても、顧客側の被害は限定的にとどまる可能性がある。
個人事業主にとって、深刻なサイバーインシデントがもたらす最大の影響は、生産性の低下である。IT環境の復旧やセキュリティ対策に時間を取られる間、顧客へのサービス提供が滞ってしまうためだ。
サイバー攻撃から事業を守る方法
英国政府の調査によると、小規模事業者のうち正式なセキュリティ戦略を策定しているのはわずか20%にすぎない。しかし、過去1年間の情報漏えいによる平均的な損失額は3,000ポンド（約52万円）を超え、小規模事業者にとって大きな負担となっている。したがって、個人事業主は基本的なセキュリティ対策を講じる時間を確保すべきだ。以下に、優先すべき対策を紹介する。
- 重要データのバックアップ: 何をバックアップすべきかを明確にし、適切なバックアップ方法を選択する。OneDriveやGoogle Driveなどのクラウドストレージを活用すれば、自動バックアップが可能で初期投資も不要。さらに、ランサムウェアの影響を受けても前のバージョンに復元できる機能が備わっている。追加の安全策として、外付けハードドライブにもバックアップを取り、普段はネットワークから切断しておくとよい。
- マルウェア対策の強化: 信頼できるセキュリティソフトを選び、全ての端末にインストールする。常に最新の状態を維持するため、自動更新を有効にすることが不可欠。
- 端末・ソフトウェアの更新: OSやアプリケーションを最新バージョンに保ち、見つかった脆弱性に対して適切にパッチを適用する。自動更新機能を活用すると管理が容易になる。
- アカウントの保護: 強固なパスワードを設定し、パスワードマネージャーを利用する。可能な限り二要素認証を有効にし、フィッシング詐欺やブルートフォース攻撃による不正アクセスを防ぐ。
- モバイル機器のセキュリティ対策: アプリは公式ストアからのみインストールし、端末のOSとソフトウェアを最新に保つ。パスワードや生体認証を活用し、紛失時のリモートロックやデータ消去機能を設定する。
- インシデント対応計画の策定: 事業に不可欠なITシステムを特定し、緊急時の連絡先リストを作成する。万が一のため、紙に印刷した対応マニュアルを用意しておくとよい。
- セキュリティ状況の確認: 英国サイバーセキュリティセンターの「Exercise in a Box」や「Cyber Aware」を活用し、自身の準備状況をチェックする。
何よりも、サイバーセキュリティに関する問題を認識しておくことが大事だ。この記事の読者は、事業の安全性を高めるために一歩進んだと言ってもよいだろう。攻撃の機会を伺う犯罪者から事業を守れるよう、先述した優先的な対策を実践してほしい。
