ランサムウェア、怖っ！

中小企業が狙われる ランサムウェアの実態

最近、警察庁から発表されている、ランサムウェアの被害状況についての興味深い資料を読みました。

令和３年におけるサイバー空間をめぐる脅威の情勢等について（速報版）
（出典：警察庁 令和３年におけるサイバー空間をめぐる脅威の情勢等について（速報版）
１ ランサムウェアに係る統計 (1) ランサムウェア被害の状況 図表２：被害企業・団体等の規模別 報告件数（令和３年）／2022年3月4日現在）

ここ数年、国内では大手の製造業がランサムウェアによって、データを人質ならぬモノ質に取られて、操業を停止せざるを得なくなったり、米国では石油やガスなど社会インフラを管理する企業が被害に遭ったり、｢ランサムウェア、怖っ！｣と思わされることが起きています。

「ああいうのは大手の企業が狙われるんでしょ」と思っている方もいらっしゃるかもしれませんが、冒頭に紹介した資料には、ランサムウェアの被害者は大手だけではないことを示す情報が掲載されています。

警察庁のデータでは、令和3年のランサムウェアの被害報告件数は146件／年で、届け出をした企業・団体等の内訳は、大企業＝49件（34％）、中小企業＝79件（54％）、その他の団体等が残りの18件（12％）です。中小企業の方が大企業より多いのです。

犯罪素人としては、社会インフラが止まって生活に影響を及ぼすようなデータこそ、モノ質にすれば巨額を要求してもうまくいくのではないかと思ってしまいますし、テロ対策素人としては、そのレベルの事態になれば、被害を受けた側だってお金を払ってなんとかしちゃうんじゃないかとも思ってしまいます。でも、実際のところ、そうした社会的責任の大きな企業はサイバー攻撃に毅然と相対し、影響が大きければ大きいほど、国の組織と相談してきちんと対応していくようです。ですから、大手企業や社会的影響が大きな企業のシステムを狙っていくのは、犯罪者側からすると｢儲からない仕事｣なのかもしれません。

犯罪者だって、テロリストだって、その人たちはそれをビジネスとしている訳ですから、もっと確実に儲けたい、しかも、ただでも悪いことをしているわけですから、リスクは最小限にしたいと思うに違いありません。そういう発想でいくと、むしろいざというときの対応の弱い中小企業の情報をモノ質に取って、ガッチリ稼ごうとしているのではないかと、冒頭に紹介した資料を読んで想像しました。ランサムウェア、中小企業は狙われない、大丈夫、と高を括っていてはいけない、ということがデータから見えてきます。

そもそも統計データとは、実際に起きたこと全てを集計した数値ではありませんから、警察庁がまとめているデータから読み取れる被害は恐らく氷山の一角でしょう。〇〇被害の実態、といったような情報には、被害の届出すらなされなかったことはカウントされません。泣き寝入りやお金で解決しているケースは、統計には計上されてはきません。

統計上のデータが146件／年、でも仮にこれが本当は5～10倍あったとすると、500～1000件／年となります。しかも、もしかしたら中小企業ほど、泣き寝入り、お金で解決しているのではないか、訴えをしていないことが多いのではないか……と考えていくと、いよいよ｢ランサムウェア、怖っ！｣ですよね。

社内の知見者から聞くところでは、ランサムウェアは、コンピュータシステムの中でも、アプリケーションのデータ＝業務データやプログラムではなく、システムのデータ＝オペレーティングシステム（OS）やシステムの重要ファイルをモノ質として取るようです、しかも、システムの中枢を成すサーバがランサムウェアの被害に遭うと、社内のシステムがすべて停止する事態に陥るとのことです。

朝出勤してきていつも通りタイムカードを打ったのに、その時間が記録されなかったら、この時点でプチパニックになります。とはいえとりあえず着替えて、自分の机に座ってパソコンを立上げ、さあ仕事を始めようとする、すると社内システムが停止している。この状況は、プチパニックではすみません。もう、トラックは荷物を積んで会社に来ています。入庫の処理をしなければなりません、今日出荷するモノも急いでシステム上の処理をしなければなりません、倉庫ではモノの受入れができず出荷の指示が来ない、生産現場では生産計画が見られない、担当者には生産指示がやってこない。製造業としては脳死の状態ですよね。

こういった状況に陥ってしまうと、時すでに遅し。110番して警察に泣きつくか、犯人にお金を払って何とかするか、いつものコンピュータシステムを使わずに業務を、製造を何とかするか、三択になると思います。

クラウド＝危険はもう古い

ランサムウェアだのウィルスだの、いろいろあるというけれど、オンプレミスのシステムなら、社内に鉄壁のセキュリティを作るので安全。その点クラウドなんて、どこにあるかわからないし、そもそもインターネットに繋がっている時点でリスクと隣り合わせじゃん。こうお考えの方がこれまではたくさんおられたと思います。今も考えておられる方もいらっしゃるかもしれません。ですが、最近は少々事情が変わってきていることを、最後にお話させていただこうと思います。

オンプレミスシステム、あるいはIaaS上に構築したシステムを自社で運用する場合、また自社に構築したシステムを外部のIT企業に運用してもらう場合、まずネットワークを構成するためのルータを設置します。これがまずもって高価な代物ですよね。更に、セキュリティを担保するためには、システムを配置するサーバや利用端末となる社内のパソコンそれぞれに対してウィルス対策ソフトを導入したり、ネットワーク上の機器をパトロールする仕組みを構築したり。従来型の業務システムのセキュリティ対策には、お金と手間がとてもかかります。

一方のクラウドシステム、厳密にはSaaS、つまり自社にシステムを構築するのではなく、ＩＴ企業が提供するサービスを利用するだけのスタンスの場合、まず、これらの費用や手間はかかりません。でもその分セキュリティリスクが高いんじゃないの？　というとさにあらずで、今やSaaSのセキュリティレベルは大幅に進化を遂げています。最近では特に、同じサービスを利用している企業が多ければ多いほど、安全なシステムと考えることもできるようになってきました。

例えば、当社の製造業向けSaaSである「UM Saas Cloud」シリーズは、セールスフォース・ドットコム様が提供しておられる世界的業務システムプラットフォーム「Salesforce」上に構築されています。このプラットフォームは、システムが止まると国の存亡に関わったり、市民生活に大きな影響を及ぼしたりする公的な機関や団体も含め、世界中の大小様々な企業が利用しています。プラットフォームが停止することで、世界の秩序と経済にとんでもない大惨事を巻き起こしてしまいかねないわけですから、プラットフォームを運営する側は、とにかく止まらない、とにかくサイバーテロの被害に遭わないために、膨大なお金と人手をかけて万全のセキュリティを確保しているのが実際のところです。そして、世界的なプラットフォーマがセキュリティに費やせるお金と人手が、一企業が限られた予算、人材から当てられるそれとは次元が違うのは、想像に難くないでしょう。

では改めて、オンプレミスとクラウド（SaaS）、どちらが安全なのでしょうか。答えは簡単ですよね。

ＩＴの世界は｢分進秒歩｣です。企業の大切な資産を守るために、システムはどうあるべきなのか、考え方をリフレッシュする時がきていると感じています。

生産管理システムをご検討中のあなたへ

製造業向け製品群「UM SaaS Cloud」
製品資料ダウンロード