本連載は、企業を取り巻くサイバーセキュリティに関するさまざまな問題について、ビジネスの視点から考える上でのヒントを提供する。
新型コロナウイルス感染症の拡大により暫定的な措置として実施されたテレワークも、感染流行の長期化を背景に、中長期的な視点での取り組みに移行し始めている。在宅組、出勤組、自宅待機組のようにシフトを組んでの対応は、緊急事態宣言下の1～2カ月という短期間を凌ぐ前提の措置としては現実的だったといえる。しかし、ウィズコロナ・ポストコロナともいわれる状況は、少なくとも1～2年は続くと予測され、今後も高いレベルで事業継続性を確保していくには、中長期的な視点での根本的な解決策が必要とされる。
緊急事態宣言下でのテレワークにおいては、ノートPCやVPN接続の不足や制限によって利用可能な社員数が制限され、出勤や自宅待機を余儀なくされるケースが発生すると同時に、多くの社員がVPN接続でデータセンターにアクセスした結果、帯域をひっ迫して生産性に影響が出るといった問題に直面した。
全てはデータセンターを中心にした企業のITインフラに起因するものだ。前回の記事にも記載した通り、社員がオフィスやカフェ、自宅などさまざまな場所で勤務し、そこからデータセンター、パブリッククラウド、SaaSなどにあるビジネスリソースにアクセスしても、快適かつ安全に業務が行えるITインフラへの刷新は、ウィズコロナ・ポストコロナに向けて企業が今すぐ着手すべき優先事項である。単なる「最低限のリモートワーク環境の整備」から「快適かつ安全なリモートワーク環境の整備」に大きくシフトする必要がある。
テレワーク普及で懸念される「ビジネスメール詐欺」の流行
快適かつ安全なリモートワーク環境を整備するには、これまでの社内勤務を前提としないリスクについても検討する必要がある。実際のところ社員の80％以上がテレワークに関連したサイバーリスクを懸念していることが、筆者の所属するパロアルトネットワークスが国内企業を対象に独自に実施した調査から明らかになっている。中でも、リモートワーク時の業務データの情報漏えいや自宅のインターネット環境の安全性への懸念が特に顕著となっている背景には、テレワークを実施する上での企業のセキュリティ対策、注意喚起やベストプラクティスの共有が不十分なことが考えられる。
新型コロナウイルス感染症の拡大と企業のテレワークへの移行を背景に、サイバー攻撃も活発になっていることは事実である。例えば、パロアルトネットワークスのリサーチ機関であるUnit 42の調査によると、2～3月に新型コロナウイルス感染症関連のドメインの新規登録が656％増加した。その中で、マルウェアやフィッシング詐欺などサイバー攻撃に利用される悪意のあるドメインの新規登録も569％増加したことが分かっている。世界的に関心を集める話題やモノの普及は、残念ながらサイバー攻撃を誘発することがこれまでの歴史である。
近年に企業がサイバー攻撃として懸念していたランサムウェアによる恐喝や標的型サイバー攻撃による情報窃取もさることながら、現在のテレワークの普及を背景に、今後一層の被害が懸念されるサイバー犯罪が「ビジネスメール詐欺（Business Email Compromise、BEC）」である。ビジネスメール詐欺は、巧妙なメールを駆使したソーシャルエンジニアリングによって、企業や個人から金銭や特定の情報をだまし取るサイバー犯罪だ。国内でも幾つかの被害が明らかになっているものの、その被害は近年一層深刻なものになっており、米連邦捜査局（FBI）の発表したデータによると、2019年までの3年間に全世界での被害件数は約17万件、被害額は日本円にして約3兆円という規模にまで達している。筆者がビジネスメール詐欺に関する相談を初めて受けたのは今から5年以上も前のことで、国内製造業の東南アジア拠点で発生した被害に関するものだった。その頃は、国内はおろか世界的に見てもこのサイバーリスクの認知は皆無に等しく、いかにこのサイバー犯罪がこの数年で拡大してきたかを物語っている。
ビジネスメール詐欺に関する被害例
