Security

【”またか”で終わらせると、次は自社が公表する側になる】〜連日の情報流出が経営判断を迫っていること〜

連日、情報流出のニュースが流れている。企業名、漏洩件数、お詫び文の定型文。それを見た経営者の多くが「またか」と感じ、次のニュースへと視線を移す。だがその「またか」という感覚こそが、正常性バイアスの入口である。繰り返されるニュースに慣れることで、「自社には関係ない」という無根拠な確信が育っていく。これは気の緩みではなく、人間の認知構造に組み込まれた反応だ。

【任せている事業者が、自社を守っているかどうか確かめたことはあるか】〜”管理している”と”お任せしている”は、全く違う〜

今年相次いだ大規模な情報流出の多くで、実際に破られたのは「委託先のシステム」や「クラウドサービス経由」だった。自社のサーバーが攻撃されたわけではない。自社のパソコンが盗まれたわけでもない。にもかかわらず、自社の顧客情報が外に出た。「セキュリティはちゃんとした事業者に任せているから大丈夫」——この言葉は、中小企業の経営者から繰り返し聞く。だが、その事業者が「大丈夫」かどうかを、経営者自身が確かめたことはあるだろうか。

【AIに任せたセキュリティ点検が、ある日間違える】〜運用設計を持たない会社が踏む落とし穴〜

AIエージェントがセキュリティの定型作業を担うようになった。ログの確認、アクセス権の棚卸し、設定の異常検知——こうした作業をAIに任せれば、人手不足の中小企業でも「回っている状態」が作れると期待されている。だが、「とりあえず動かす」という判断でAIエージェントを導入した場合、何が起きるかを正確に把握している経営者は少ない。

【氏名・生年月日で”本人”と確認できる時代は終わった】〜「漏えいを防ぐ」だけでは守れない、認証の設計を見直す〜

氏名、生年月日、住所、電話番号。これらはかつて「本人しか知らない情報」として、本人確認の根拠に使われてきた。銀行の問い合わせ窓口でも、各種サービスの登録でも、「お名前と生年月日をお聞かせください」という確認は今も続いている。だが、この前提はすでに崩れている。

【自社から漏れた名前とメールアドレスが、別の詐欺に使われる】〜生成AIで変わった攻撃の”コスト構造”と、企業が今決めること〜

自社から個人情報が漏えいした。対象は氏名とメールアドレスだけだった。決済情報も、パスワードも含まれていない。だから「大きな被害にはならないだろう」と判断した経営者は少なくない。だが、その判断はもう通用しない。

【「個人情報が漏れた」は同じ危険ではない】〜攻撃者から見た情報の”使い道”で、危険度は変わる〜

2026年秋、国内の著名企業から個人情報漏えいの公表が相次いだ。タイムズカーの約660万アカウント、Gyazoユーザー関連の約2,362万件、アフラックの約440万人分――数字だけを並べると、「大変なことが起きた」という印象になる。だが、その印象は正確か。

【毎月かかるセキュリティ費用の正体】〜”作業を繰り返す構造”を変えなければ、コストは下がらない〜

中小企業がセキュリティ対策を外注すると、毎月それなりの費用が請求書に並ぶ。ログ監視、EDR運用、脆弱性診断——項目を並べれば、月額数十万円規模になることは珍しくない。「セキュリティにはお金がかかる」と半ば諦めながら、毎月その請求書に判を押している経営者は多い。

【”AIを使いこなせていない”会社の共通点】〜脅威リストに載った本当の理由〜

2026年版のIPAセキュリティ10大脅威に、生成AIに関するリスクが初めて名を連ねた。「AIが危ない」という見出しが踊り、一部の経営者は「だからAIは怖いものだ」と解釈し、また別の経営者は「うちはまだ使っていないから関係ない」と読み流す。

【ITを使わないベテラン社員が、会社の一番のセキュリティホールになる】〜”敬遠”が生む情報管理の死角〜

ITシステムを整備し、クラウドを導入し、マニュアルを配布した。それでも、ある社員だけは依然として紙の台帳に手書きし、ファイルをメールに添付して送り、重要な判断を口頭だけで完結させている。中小企業の現場でよく見かける光景だ。多くの経営者は「あの人はITが苦手だから

【スマホを”使ってよい”にした後、会社は何を決めていないのか】〜BYODの判断が終わった後に始まる、本当の運用設計〜

テレワークの定着と働き方の多様化を背景に、個人のスマートフォンを業務に使う「BYOD（Bring Your Own Device）」は、中小企業でも静かに、しかし急速に広がっている。だが多くの場合、その広がり方は「気づいたらそうなっていた」という類いのものだ。

次のページ

1 2 … 18