1つは「対策していると安心してしまい、逆に危機管理を維持することも難しくなる」「すり抜けてくるものに対する従業員個々人の警戒心が弱まる」などに見られる、対策を講じているという事実が”過信“となって従業員の軽率な行為につながっている点だ。こうした課題に「標的型攻撃対策が完璧ではないことを社内にアナウンスしている」との企業もあった通り、従業員への継続的な啓蒙（けいもう）・教育が重要になりそうだ。2つ目は「必要なメールがフィルターに引っ掛かる」や「フィルターが厳し過ぎてメールのやりとりに支障が出続けた」といった意見で、対策を強化しすぎたことで非効率な運用が発生しているといったケースだ。

　これはデメリットとして3つ目にあたる「コスト」や「費用対効果」にもつながる。「怪しいメールを自動削除にしたいところだが、必要なメールまで消してしまう可能性を捨てきれないので、結局のところ目視による膨大なメールの確認を強いられるのが続いている」といったユーザーの効率を悪化させてしまった例や、「メールの誤検知、怪しいメールについての問い合わせが増加」「アップデートの人員が確保できない」など、問い合わせ先であるシステム部門の工数を圧迫するなどの報告もあった。最後に4つ目は「レスポンス悪化」を指摘する声だ。「ネットワーク、PCに負荷がかかる」「ネットワークリソースの消費によるレスポンス低下」など、対策を強化するほどネットワークや端末のリソースを消費してしまうケースもあるようで、こうした点をデメリットに挙げる方も少なくなかった。

　標的型攻撃対策を含むセキュリティ対策は、有事の際に企業に及ぼす悪影響を最小限に抑えるためのコストであり普段見えにくいだけあって、こうした運用面でのデメリットと比較すると費用対効果について疑問視される対象となりやすい。ただし昨今では企業規模や業態に関係なく攻撃対象にされるケースも多く、こうしたリスクを認識した上で費用対効果を測りながら最適なセキュリティ対策を検討していくべきだろう。

3社に1社は専門人材・部門を未設置の実態

　セキュリティ対策のコストや費用対効果を検討する際、重要になってくる要素の1つとして従業員のセキュリティ意識をどのように継続的に向上させていくか考える必要がある。そうすればシステム投資による対策をいくら行っても防ぎきれないリスクや、反対に運用を制限することで発生する非効率なコストを抑制することができる。

　そこで現状、従業員や経営層に標的型攻撃に対する注意喚起や対策方法のレクチャー、トレーニングなどを実施しているかを調査したところ「実施していない」は22.3％にとどまり、約8割の企業で何らかのセキュリティ教育を実施していることが分かった。この割合は2019年に行った前回調査と比較して7.4ポイント増加している（図3）。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

図3　標的型攻撃のトレーニングなどの実施有無

　一方で「実施している」企業の中では内容に偏りが見られる。最も多かったのは「標的型攻撃のリテラシー教育を実施している」の46.6％で、巧妙化する標的型攻撃に対して継続的に意識させるための教育を行っている企業は少なくないようだ。加えて「標的型攻撃の訓練を実施している」といった少し踏み込んだ施策を実施している割合も41.2％と同程度存在する。ただしこれらは“従業員”に対する施策だ。比較すると「経営層に向けて標的型攻撃に関するレポートを提出している」は8.1％と極めて低く、取り組み企業はまだまだ少ないのが現状だ。

　関連して自社のセキュリティ体制についても聞いた。最も多かったのは「専門部署も専任担当者もおらず、情報システム担当者が兼任している」33.8％で、次いで「セキュリティ対策専門の部署があり、部門長が統括している」28.4％、「専門の部署はないが、専任の担当者がいる」16.9％と続く。まとめると3社に1社はいまだセキュリティ対策を専門的に行う担当者や部門を配置していない状況だ。こうした点からも経営者などの上位層に対してこそより継続的にセキュリティ意識やリテラシーを高めていく施策が必要だと言えそうだ。