ニュースの概要
米国立標準技術研究所（NIST）は11月2日、従業員を雇わない個人事業者やソロプレナー向けに、サイバーセキュリティの指針を公開した。専門知識がなくても読める平易な言葉でまとめられ、同機関のサイバーセキュリティ・フレームワークの考え方を土台にしている。顧客の連絡先、決済に関わる情報、業務用アカウントなどを一人で抱える事業者が、限られた時間と予算の中で何から手を付けるべきかを整理した内容だ。大企業向けの重い基準ではなく、一人でも実行できる現実的な優先順位を示した点が特徴である。
引用元: NISTがソロプレナー向けサイバーセキュリティ指針を公開（NIST）
分析・見解
大企業向けの基準を一人用に作り替えた意味
NISTのフレームワークは、もともと重要インフラや大企業の対策を整理するために作られた。用語は難しく、担当部署がある前提で書かれている。今回の指針は、その考え方を「担当者が自分だけ」という状況に合わせて縮めたものだ。
個人事業者向けの資料が公的機関から出ること自体に意味がある。これまで一人事業の対策は、民間ベンダーの販売資料に頼りがちだった。販売資料は製品の購入が前提になる。中立の機関が優先順位だけを示せば、必要のない契約を避ける判断材料になる。
狙われやすいのは小さい事業のほうである
攻撃者は規模ではなく、突破しやすさで標的を選ぶ。一人事業は、守りが薄いわりに、顧客のメールアドレスや請求先、クラウドの管理画面といった価値ある情報を持つ。しかも乗っ取られた個人のアカウントは、取引先への詐欺メールの発信元として使える。被害は本人だけで終わらない。
米国の中小企業調査でも、小規模事業者への攻撃は全体の中で大きな割合を占めると繰り返し報告されている。日本でも、フリーランスの業務用メールが乗っ取られ、取引先に偽の請求書が届いた事例は珍しくない。一人事業の事故は、取引先の信頼を一度に失う形で現れる。
一人であることが生む三つの弱点
一人事業の弱点は、技術の不足よりも構造にある。第一に、誰も確認してくれない。設定の誤りやパスワードの使い回しを指摘する同僚がいない。第二に、仕事と私生活が同じ端末に同居しやすい。家族と共用のパソコンで請求書を作る場面は多い。第三に、止まったときの代役がいない。ランサムウェア（＝データを人質に金銭を要求する攻撃）で端末が使えなくなれば、その日の売上がそのまま消える。
だから最初に効くのは高価な製品ではない。多要素認証（＝パスワードに加えて、スマートフォンなど別の手段でも本人確認する仕組み）、自動更新、定期的なバックアップという地味な三点である。この三つで、一般的な被害の大半は防げるか、軽くできる。
AI活用が増えるほど守る範囲は広がる
近年の一人事業は、生成AIや自動化ツールに多くの作業を任せている。メールの下書き、顧客対応、経理の整理まで、外部サービスに権限を渡す場面が増えた。これは便利な反面、連携の許可を一つ誤ると、メールやクラウドの中身をまるごと渡すことになる。
今回の指針が扱う「資産の洗い出し」は、AI時代にこそ重みを増す。自分がどのサービスに、どの権限で、何をつないでいるか。それを一覧にできない状態が、最大のリスクだと言える。今後は公的機関の指針でも、外部サービスの連携管理が独立した項目になっていくだろう。
ビジネスへの影響
最初の一時間でやるべき三つの作業
今日から動けるように、順番を決めておきたい。まず業務で使うすべてのアカウントの一覧を作る。メール、銀行、会計、クラウド、SNSまでを書き出す。次に、メールと銀行と会計の三つだけは、必ず多要素認証を入れる。最後に、重要な書類と顧客データを別の場所へ自動で複製する設定にする。
全部を完璧にする必要はない。優先順位の高い順に、一つずつ潰せばよい。月に数千円の費用と、最初の数時間で済む範囲である。
取引先から求められる前提条件になりつつある
大手企業は、委託先に対するセキュリティ確認を厳しくしている。アンケートで二要素認証の有無やバックアップの運用を尋ねられる場面が、個人事業者にも広がっている。公的機関の平易な指針は、その回答の根拠として使える。「NISTの考え方に沿って対策している」と説明できれば、契約の場で信頼を得やすい。
対策費を売上の守りとして考える
セキュリティは費用ではなく、売上を止めない保険である。一日止まった場合の損失を、自分の日商で計算してみるとよい。その金額を超える対策費は不要だが、下回る対策費は惜しむべきではない。
さらに、事故の連絡先を紙に書いて手元に置くことを勧める。銀行、カード会社、ドメイン管理会社の窓口を決めておけば、乗っ取りに気づいた瞬間に動ける。一人事業では、初動の速さがそのまま被害の小ささになる。