※本コラムは、株式会社アプリップリ様のコラム(opens in new tab)をもとに、東日本サポートセンターが一部編集のうえご紹介しています。

日本国内におけるサイバー犯罪による被害企業の内訳は、IPAが毎年発表している「情報セキュリティ10大脅威」の解説資料を読むと、ランサムウェア被害の報告件数のうち、中小企業が占める割合は約6割となっています。「大企業ばかりが狙われている」という認識は、もう数字と一致していません。

次に、トレンドマイクロのレポートによれば、攻撃者が中小企業を狙う理由は明確で、「セキュリティ対策が手薄」「身代金交渉に応じやすい」「同業他社への踏み台にできる」の3点。攻撃者側の経済合理性として、中小企業のほうがROI（攻撃投資収益率）が高い、という状況が成立しているということです。

なぜ「中小は狙われない」という認識が残り続けてきたのでしょうか。
おそらく、この認識が形成されたのは2010年代半ばまでです。当時のサイバー攻撃は、特定の企業を狙う「標的型攻撃」が主流で、攻撃の準備には数ヶ月かかることもありました。当然、コストに見合うのは大企業や政府機関でした。

しかし、ここ5〜7年で攻撃の経済モデルが完全に変わりました。
転換点は「Ransomware as a Service（RaaS）」の登場です。攻撃ツールがサブスクリプション型で売買される仕組みで、技術力のない攻撃者でも月額数万円で本格的なランサムウェアを使えるようになった。結果として攻撃者の母数が爆発的に増え、彼らは「狙いを定める」のではなく「無差別に網を投げる」スタイルに移行しました。

無差別な攻撃で「引っかかりやすい」のは、対策が手薄な組織。つまり中小企業です。「狙われている」のではなく「網にかかっている」。この違いを理解すると、対策の優先順位が変わります。

もう一つの構造変化として、サプライチェーン経由の侵入が大企業のセキュリティ部門の最大関心事になっています。大手企業を狙う攻撃者は、本丸を直接攻めるのではなく、その取引先である中小企業を経由する手口を多用しています。このため大手企業は取引開始時・更新時に「セキュリティ要件チェックシート」を中小企業側に出すようになりました。

このチェックシートに答えられない、要件を満たせないと取引が停止される、というケースが現実に発生し始めています。セキュリティ対策はもう「リスク管理」の話だけでなく、「営業の前提条件」になっているということです。

では、何から始めればよいのか。
中小企業が現実的に始められる対策の出発点は、SECURITY ACTION ★3の取得です。

IPAが運営する制度で、5つの基本対策と4つの追加対策（多要素認証、データバックアップ、教育、規程整備）を実施した企業に認証マークが付与されます。★3取得の意義は、取得要件を満たす過程で組織のセキュリティ実務が半分以上整うことにあります。特に多要素認証は★3取得の必須要件であり、最も投資対効果の高い対策です。

Microsoftが公開している数字によれば、多要素認証を有効にしているアカウントは、不正アクセス試行の98.56%を自動的にブロックしています。攻撃側の効率が、これ一つで100分の1以下になるということです。

医療機関にとっては、他人事ではなく期限付きの課題

医療機関の場合、電子カルテやレセプトコンピュータが感染すると、業務が止まるのではなく「診療そのもの」が止まります。実際に、ランサムウェア被害で電子カルテが使えなくなり、数ヶ月にわたって診療制限を余儀なくされた病院の事例も報告されています。

さらに、厚生労働省の「医療情報システムの安全管理に関するガイドライン第6.0版」（2023年5月）では、パスワード認証を新規導入・更新する際に二要素（多要素）認証の採用が求められており、対象は令和9年度（2027年度）時点で稼働している医療情報システムです。
つまり多くの医療機関にとって、これはもう「検討事項」ではなく「期限のある対応事項」になっています。

クリニックや診療所の多くは、専任のIT・セキュリティ担当者を置いていません。
人手が割けない分、対策はどうしても後回しになりがちです。
その一方で、扱っているのは患者の病歴や治療内容といった、極めて機微な情報です。守りが薄いのに、中身は最も守るべき情報——この差が、医療機関を優先的に対策すべき理由になっています。

認識を更新するだけで、優先順位は自然に変わります。セキュリティ対策は、不安に駆られて始めるものではなく、数字を見て冷静に判断するものです。

東日本サポートセンターでは、中小企業向けの多要素認証「アプリップリキー」の導入支援を行っています。

セキュリティ対策の見直しをご検討の際は、東日本サポートセンターまでお気軽にお問い合わせください。

---

▼医療機関のサイバーセキュリティ対策に。多要素認証サービス「applippli-key」のご案内
https://ejsc.co.jp/system/security-key/