・サイバーセキュリティをいかに確保するか。まずは侵入されないようにする。侵入されても大事なものは別にしておく。盗まれても、復元できるように保存しておく。脅しには絶対にのらない。被害にあったら、すぐに届けて、開示する。危険が及ぶとしても、犯罪とは戦うしかない。その戦い方が問われている。

・社内システムと外部とのつながりを全く遮断している会社がある。相当不便だと思うが、社内システムに侵入されるリスクは相当下げている。外部とのやり取りは別のシステムで対応しており、社内システムへの情報の取り込みには別のループを設けている。これで大丈夫だろうか。

・外部流出したら致命的となる情報やデータは別に保存して、通常のアクセスは遮断している会社がある。通常のシステムでは侵入できない。しかし、バックアップの更新は必要である。その時に、ウイルスを紛れ込まないようにできるか。

・いずれの場合でも、社内の人的リスクがある。社内の担当者が共謀していたら、侵入や盗難、データの暗号化、破壊などは避けられない。この人的リスクに対する防衛の仕組みも重要である。悪意が働かないように分権化しておく必要があろう。

・スマートライフにおいて、個人的にはどのような行動をとるのか。くれぐれも用心していくしかない。外部の一般情報へのアクセスは、まず信用しないことである。入ってくる情報についても、その発信元を疑って、なりすましに注意する。すぐに反応する必要はない。本当に必要なアクションが求められる時は、2重、3重にチェックしてからでも遅くはない。

・情報を送信する時には、送付先、送る情報のファイルのセキュリティに万全を期す。間違えることや、盗まれることが前提である。ここも防衛していく。全てやっていても、危ういといわれよう。とにかく隙をみせないことである。

・今年3月に、警察庁サイバー警察局からサイバー空間をめぐる脅威について報告書が出された。サイバー空間では、誰が攻撃主かを突き止めにくい。国境を越えてくるので、国家安全保障にも関わってくる。偽情報による介入、重要インフラの機能攻撃なども頻発しつつある。

・警察によるサイバー犯罪の検挙数は2025年で1.51万件に達し、過去最多となった。最近はAIを使った悪用事例が増えている。不正プログラム、フィッシング（詐欺）はもはや日常的となっている。

・ランサムウェア（身代金要求型）攻撃も多発している。2025年には226件の被害届が出された。大企業64件、中小企業143件、団体等19件であった。業種でみると、製造業が多く、卸・小売、サービス、情報通信、建設、教育・学習支援など多岐にわたる。

・復旧の長期化、費用の高額化が生じている。身代金の要求には応じないことが鉄則であるが、水面下では支払もあるようだ。身代金が入るからこそ、ハッカーは味を占めて攻勢を強めている。

・侵入経路は、VPN（Virtual Private Network）を通して、未修正の脆弱性、漏洩した認証情報、簡易パスワード、設定不備など利用する。そして、より広い領域にアクセスするために、管理者権限の奪取やセキュリティの無効化を図る。

・ネットワーク内部を探索して、重要データやバックアップを物色する。その上で、データを窃取した後、暗号化して復旧を妨害する。

・バックアップをとっていても、バックアップが暗号化されてしまう。オンラインで近くにあると危ない。オフラインで遠くに置くことが必要である。そうすると、バックアップがいくつか必要となる。

・業務の一部、または全てが1ヶ月も2か月も止まってしまうと、被害は甚大となり、その企業のサステナビリティ（持続性）にも影響が出る。サイバーBCPの策定が重要となり、その実践的訓練も必要となるが、現実にはここまでやっている企業はまだ少ない。

・どうすればよいか。企業にとって万全ということはない。サイバーセキュリティ対策で先端をいくか、標準でいくか、遅れていくか、を見定める必要がある。商品・サービスのレベルでいうと、品質で一級を確保するか、標準でよいとするか、多少劣ってもそれでよしとするか、という判断である。

・どの企業でも、攻撃のターゲットになる。攻める方には目的がある。1）社会的評判を落とす、2）経済的打撃を与える、3）身代金で稼ぐ、4）奪ったデータで稼ぐ、5）社会を混乱させる、などさまざまな狙いがあろう。

・無差別に攻めて、隙がある企業に出会ったら、しめたものということであろうか。あるいは、ターゲットを絞って、企業を選択してくるのであろうか。まずは攻めのターゲットにならないように、サイバーセキュリティを十分装備しておくことであろう。

・当然、全社システムとして、標準以上の対応策を打っておく。社外の専門家も利用して、システムの防衛を整え、攻撃を受けた時の防御もレベル1、2、3と定めておく。教育・訓練も怠らない。明らかな隙がある時には大きな被害を受ける。これを避けるリスクマネジメントにしっかり投資してほしい。

・サイバーセキュリティの開示については、1）対応状況の開示と、2）サイバー被害が生じた時の開示の両面で、開示方針を定めて、それを実践してほしい。サイバー攻撃があっても、十分守られているならば、ビジネスに何ら障害は発生しない。これが当たり前とすると、投資家は通常何も気にしない。

・何らかの被害が発生した時には、なんでそんなことになったのかと驚きつつ、被害状況と復旧の目途について、一刻も早く知りたい。ところが、企業サイドでは、原因が分からず、復旧の目途もたちにくいとすると、何を開示するのかと悩む。明解に答えられないので、開示を躊躇する。ここに、開示のよい企業とそうでない企業の差が出てくる。

・よくわからないので、とりあえず沈黙して、全てわかってからまとめて公表したいという姿勢になりがちである。そうではなく、事態の進捗に合わせて、トップが的確に情報を発信してほしい。

・とにかく、サプライズをなくすことである。経営トップ、サイバーセキュリティの責任者、財務担当が連携して開示にあたれば、株主、投資家の信頼はつなぐことができよう。今後、サイバーセキュリティの事案は増えてこよう。その開示に十分注目して、投資判断に活かしていきたい。