企業にとって、世の中に存在する数多くのセキュリティフレームワークや基準に圧倒されてしまいがちです。 そして、これは特に、 の最高情報セキュリティ責任者（CISO）がおらず、あるいはIT担当者がまったくいない中小規模の企業において顕著です。 企業がサイバーセキュリティ上の問題のほとんどを解決するために講じられる対策の詳細なリストがあれば、素晴らしいと思いませんか？
オーストラリアにはあります。 そして、それは広く見過ごされています。
米国の国家安全保障局（NSA）に相当するオーストラリア信号局（ASD）は、数年前、サイバー攻撃から身を守るためのベストプラクティスのリストを具体的に示しました。当初は4項目でしたが、その後リストが拡充され、現在ではオーストラリア国内で「 のEssential Eight（）」として広く知られています。 公的機関・民間企業を問わず、これらの指針に従うことが推奨されていますが、レベル1の要件さえも満たすことは、多くの組織にとって困難であることが判明しており、とりわけ中小企業（SMB）にとっては大きな負担となっています。
ASDが最初の4つのリスク軽減戦略を具体化した当時、同団体は、これらを実施することで、組織が日々対処しているサイバーセキュリティリスクの 85％を回避できると述べていました。 これはパレートの法則を体現したもので、（理想的には）わずかな労力で、作業の大部分をカバーすることを目指していました。
その4人は以下の通りです：
- アプリケーションのホワイトリスト登録
- アプリケーションのパッチ適用
- オペレーティングシステムのパッチ適用
- 管理者権限の最小化
それは 2011でした。 脅威の状況が時間の経過とともに複雑化するにつれ、「アプリケーション・ホワイトリスト」は「アプリケーション制御」と名称が変更され、 2017 ではそのリストが拡充され、以下の項目が含まれるようになりました：
- 多要素認証
- ユーザーアプリケーションのセキュリティ強化
- 定期的なバックアップ
- Microsoft Officeのマクロを制限する
しかし、最小限の労力で最大の成果を得ることを重視しているにもかかわらず、また当初は人目を引く啓発キャンペーンも行われたにもかかわらず（これについては後ほど詳しく説明します）、中小企業向けの「 E8—especially 」への順守状況は、極めて低いのが実情です。 これは直感に反するように思えるかもしれません。特に、このフレームワークが8つの一見単純なカテゴリーに分類されており、そのうち2つは基本的に同じ、明快なメッセージに帰着することを考えると尚更です： 頼むから、ソフトウェアのパッチを当ててください！ では、何が問題なのでしょうか？
[関連記事：「Essential Eight」のコンプライアンスを簡素化・自動化する方法]
この問題について議論している専門家たちは、規定が遵守されていない理由の一部は、これら8つのカテゴリーが、一見すると理解しやすいように見えても、実際にはそうではないという事実に起因していると指摘しています。 さらに、詳細に掘り下げていくほど、それらははるかに複雑になり、ほとんどの中小企業にとっては実現が難しくなります。
「エッセンシャル・エイト」の核心となる問い：あなたの成熟度はどの程度でしょうか？
ASDでは、「Essential Eight」に対して4段階の成熟度モデルを適用しています。 オーストラリアの非法人連邦機関は成熟度レベル2を満たす必要がありますが、民間企業は一般的に、どのレベルのセキュリティを採用するか（あるいは、そのためにいくらまで支払う用意があるか）を自ら決定することができます。
- レベル0の「 」は最も基本的なレベルであり（ある意味では、の成熟度レベルにおける「」と呼ぶこともできるでしょう）、組織のサイバーセキュリティ体制の弱点を露呈させ、攻撃に対して広く無防備な状態に陥らせてしまいます。
- レベル1の （多くの場合、中小企業に適しています）は、企業がまだパッチを適用しきれていない既知の脆弱性を悪用するために、「スクリプトキディ」やハッキングの知識があまりない人々が無作為に使用するようなツールなど、広く入手可能な一般的な攻撃手法から組織を保護することに重点を置いています。
- レベル2の （一般的に大企業に適用されます）は、より多くの時間と知識を攻撃に費やす悪意のある攻撃者から組織を保護します。こうした攻撃者は、フィッシング や ソーシャルエンジニアリングの手法 などを用いて、悪意のあるアプリケーションを起動させたり、データを破壊したりすることがあります。
- レベル3の「 」（特に重要インフラにとって極めて重要）は、一般に公開されているツールに頼る必要がなく、独自のランサムウェア やその他のデジタル兵器を設計できる、最も高度な攻撃者に焦点を当てています。 こうした攻撃者は、より巧妙なソーシャルエンジニアリング（例えば、従業員に悪意のあるリンクをクリックさせるだけでなく、知らず知らずのうちにネットワーク制御を迂回させるなど）を行い、ネットワークのさまざまな部分に侵入してデータを盗み出したり改ざんしたりし、その痕跡を隠蔽します。
[関連記事：巧妙な妨害工作――データ改ざんの台頭、次のサイバー戦場]
各レベルには、8つの指標それぞれについて詳細な仕様が記載されています。 例えば、レベル1では、アプリケーションのパッチ適用に関してだけでも、9つの個別の基準が設けられています。 「Essential Eight」のほとんどのトピックと同様に、パッチ適用についても別途資料が用意されており、適用漏れのパッチの特定、パッチ適用中の不具合への対応、およびフリーズ期間中の対応方法などについて、きめ細かな指針が示されています。 その他の管理リストも同様に詳細です。
ASDは、『 2023年11月』において、「Essential Eight」の対策内容を大幅に更新し、重大な脆弱性が発見された後の48時間以内の修正といった新たな要件を盛り込みました。 今回の更新は、主要な指標のほとんどに及んでいました。
「もはや単純な一連の統制措置という段階ではありません」と、国際的な統制関連の非営利団体ISACAの理事であるジェイミー・ノートン氏は述べています。 「かなり多くの操作項目がありますね。」
「スリップ、スラップ、スラップ」ほど単純な話ではありません
ASDが考案した「ベストプラクティス上位4選」の提案は、オーストラリアが得意とする、簡潔で印象に残り、要点を的確に伝えるスローガンといった、シンプルな啓発メッセージを反映したものでした。 Like the “slip, slop, slap” campaign that encouraged people to fight melanoma by wearing sunscreen and hats; the anti-speeding slogan "Wipe off five," which encouraged reducing road speed by just five kilometers per hour; and the fabulously Australian 1980s corker "If you drink and then drive, you're a bloody idiot."
「のCatch、Patch、Match。」オーストラリア政府が以前掲げたサイバーセキュリティのスローガンですが、広く浸透することはなく（また、サイバーコンプライアンスの遵守率の向上にもつながりませんでした）。
ASDが展開したサイバーセキュリティに関するオンライン動画キャンペーン「Catch, Patch, and Match」では、最初の4つのルールをまとめ（パッチ適用に関する2つのルールを巧みに組み合わせて）、これらに従えばサイバーセキュリティインシデントを 85％根絶できると主張しました。 しかし、サイバーセキュリティに関しては、単純な対応では済まされません。これほど複雑なテーマには、キャッチーな啓発キャンペーン以上の取り組みが必要です。
「そのような公共の安全を訴えるスローガンに基づいた考え方は……単にメールやPCの保護だけを目指すのであれば、消費者にとっては素晴らしいものですが」とノートン氏は述べ、「しかし、企業にとってはそれほど有効ではないかもしれません。」
そのため、より理解しにくい「エッセンシャル・エイト」へと発展していきましたが、これには、あのようなキャッチーなオンライン動画は存在しませんでした。 その代わりに、その内容は舞台裏で、 リスク管理 の会議において伝えられ、そこでその数多くの下位管理措置が専門家によって細かく検証されることとなりました。
[関連記事：「エッセンシャル・エイト」だけではありません――世界中のセキュリティ専門家が、量子コンピューティングの警鐘を「スヌーズ」している]
また、成果は限定的でしたが、規制も実施されました。
（芳しくない遵守状況）の数値から見る「エッセンシャル・エイト」
E8 レベル2は、 2022年より、企業以外の政府機関に対して義務化されました。また、大企業ほど、中小企業に比べてこの成熟度レベルを達成している傾向があります。 とはいえ、特にうまくいった人はいないようです。 のASDレポート「 への準拠状況（ ）」（ in 2024）によると、政府機関のうち、総合成熟度レベル2を達成したのは 15％にとどまり、前年の 25％から低下しました。
中小企業は、レベル1であってもその投資を行う余裕があるのでしょうか？
「そうはならないでしょう」と、オーストラリア中小企業協会のシンクタンク委員会委員であり、中小企業向けITコンサルティング会社「KPPro」の代表を務めるアッシュ・レイナ氏は述べています。
「アプリケーションのセキュリティ強化や、アプリケーションのパッチ適用、オペレーティングシステムのパッチ適用について言えば、プロジェクトのライフサイクルのどの段階にあるかによって、それらには時間や労力、そして費用がかかることがあります」と彼は述べています。
レイナ氏によると、オーストラリア市場での事業運営にかかる高いコストが、この問題をさらに深刻化させているとのことです。 オーストラリア統計局の最新のデータ（ 2022社を対象）によると、全企業の 57％が、過去3か月間で事業運営コストの増加を経験したことが示されました。 報告されたコストのうち、5分の1が大幅に増加していました。
中小企業から「エッセンシャル・エイト」への反応：「納得できません」
単に経営を維持することといった優先課題に直面しているため、サイバーセキュリティ対策の推進に賛同している中小企業はほとんどありません。 ASD傘下のオーストラリア・サイバーセキュリティ・センター（ACSC）が 1,700 社以上の企業を対象に実施した「」調査（ ）によると、自社のサイバーセキュリティ意識について「平均」または「平均以下」と評価した企業がほぼ半数に上ることが分かりました。 また、 のサイバーセキュリティ予算については、 をご覧ください。 ほぼ同数の人が、サイバーセキュリティに年間500 ドル以下しか費やしていませんでした。
「[『Essential Eight』] は依然として有用な取り組みではありますが、サイバーセキュリティ担当者がいない、あるいはおそらくIT担当者すらいない中小企業にとっては、その微妙なニュアンスが理解されにくいでしょう。」国際的な情報セキュリティ管理非営利団体ISACAの理事、ジェイミー・ノートン氏
しかし、企業の規模が小さければ小さいほど、より多くの支援が必要となります。 The same survey found the average self-reported cost of cybercrime for the 92% of businesses making under $2 million each year was almost $50,000 in FY2023-24. これは前年比で 8％の増加でした。 一方、中堅・大企業では、平均損失額が減少しました。
「中小企業にとって最大の課題は、スキルセットと専門知識です」とノートン氏は述べています。 「[エッセンシャル・エイト]は依然として実施する価値のあるものではありましたが、サイバーセキュリティ担当者がいない、あるいはおそらくIT担当者すらいない中小企業にとっては、その微妙なニュアンスが理解されにくいのです。」 「パッチの適用については理解できるかもしれませんが、具体的にいつ、なぜ、どのようにパッチを適用するかといった詳細に踏み込むと、それはあまりにも細かい話になってしまいます。」
「エッセンシャル・エイト」の「人材」問題
オーストラリア産業団体（Ai Group）の産業開発・政策担当責任者であるルイーズ・マクグラス氏は、啓発キャンペーンとしては逆説的ですが、ASDは知識のあるユーザーへの依存度を過小評価していると述べています。
「もし『エッセンシャル・エイト』を再び制作するとなると、より人間味のある内容になると思います。」オーストラリア産業グループ（Australian Industry Group）の産業開発・政策担当責任者、ルイーズ・マクグラス氏
ソーシャルエンジニアリング攻撃が増加していることを考えると、「エッセンシャル・エイト」が技術的な対策に重点を置いている点は、特に問題となります。 Australian businesses lost $84 million to business email compromise in FY2023-24, according to the ACSC. また、セグメンテーションやバックアップといった技術的な対策はランサムウェアへの防御に役立ちますが、 ユーザーの意識向上 も同様に不可欠です。
「もし『エッセンシャル・エイト』を再び行うとしたら、もっと人間味のあるものになると思います」とマクグラス氏は述べています。 「企業は、人にとっての真のリスクは常に『行動』にあるということをより深く理解するようになってきており、従業員の研修への投資が大幅に増えているのです。」
しかし、繰り返しになりますが、従業員の研修には時間、予算、そしてそれを実施する担当者が必要ですが、これらはいずれも中小企業にとっては不足しがちなものです。 マードック大学の研究者らが西オーストラリア州の中小企業を対象に実施した最近の調査によると、回答者のうちサイバーセキュリティに予算を割り当てていたのはわずか 35％に過ぎず、 34％ が従業員に対してサイバーセキュリティ意識の向上 やオンライン詐欺に関する研修を行っていましたが、中小企業を支援するために設計されたサイバーセキュリティフレームワークの存在自体を知っていた企業は、はるかに少なかったのです： 米国国立標準技術研究所（NIST）のフレームワーク を知っていたのは 32％でしたが、「Essential Eight」を知っていたのは4分の1未満であり、 17％はどのフレームワークについても全く知りませんでした。
[こちらもぜひお聴きください：オーストラリアの複雑な「Essential Eight」フレームワークへの継続的なコンプライアンスを実現する方法]
Essential Eightの代替製品（中小企業向けに設計されたもの）
公式には、「エッセンシャル・エイト」は政府機関にのみ義務付けられています。 マクグラス氏によると、実際には、これらはサプライチェーン全般での使用に徐々に浸透してきているとのことです。
「新規のサプライヤーの場合、顧客、特に大企業であれば、『Essential Eight』の成熟度レベルに関する自己評価を提示してくるでしょう」と彼女は述べています。 小規模な企業であれば、その点を免れることもできるかもしれませんが、「中規模の企業の場合、そうした質問をされる可能性が高くなります」。
とはいえ、中小企業を念頭に置いて設計された代替規格も存在します。 キャンベラに拠点を置くダイナミック・スタンダード・インターナショナル社が提供する「 」SMB 1001 フレームワーク（ ）がその一例です。
さらに簡潔な情報をお求めの方は、ACSCが独自に作成した「 」SMB向けサイバーセキュリティガイダンス（）をご参照ください。 ここでは、スタッフの教育に関するヒントなど、簡単なヘルプを掲載しています。 同センターは、中小企業に対し、その後、「Essential Eight」セキュリティモデルのレベル1に移行することを推奨しています。
[関連記事：CISOの成功事例――退屈なサイバーセキュリティ研修を克服する最善策]
本当に役立つのは、中小企業向けの独立した最低限の認証制度かもしれません。それは、受付のデスクトップ用にノートンのライセンスを購入しただけにとどまらず、それ以上の努力を少しでも行っていることを証明するためだけのものです。
英国の国立サイバーセキュリティセンター（ ）が提供する「Cyber Essentials」（ ）モデルは、優れた基準となっています。 比較的短い技術的な管理措置が5つあります（残念ながら、スタッフの意識向上や研修に特化した管理措置はありませんが）。 また、事業主の方がオンラインで順を追って回答できる「準備状況チェックリスト」も用意されており、最も優先すべき対策を特定することができます。
中小企業にIT関連の業務を行ってもらう際には、内容をできるだけわかりやすく、費用対効果が高く、スムーズに進められるようにすることが極めて重要です。 何よりも、それらが不可欠です。
