かなり乱暴なタイトルです。
制作会社が言うことではないかもしれません。
もちろん、本当にホームページを消してほしいわけではありません。
それでも、あえてこんなタイトルを付けたのは、ホームページが単なる会社案内ではなく、インターネット上に公開された「システム」だからです。
そしてシステムを公開する以上、そこには責任があると思うのです。
ホームページのセキュリティというと、
「情報漏えいを防ぐため」
「会社を守るため」
そんなイメージを持つ人が多いかもしれません。
もちろん、それも間違いではありません。
しかし本当に怖いのは、不正アクセスされたホームページが、誰かを騙したり攻撃したりするための道具として利用されることです。
昨今のサイバー攻撃
昔のホームページ改ざんは、比較的わかりやすいものでした。
トップページに謎のメッセージが表示されたり、表示が変わったり。
誰が見ても異常だと分かるので、発見は簡単でした。
今思うと、ずいぶん親切（？）だった気がします。
けれど、最近のは違います。
ホームページを見ても普通です。
会社概要も見られる。
お問い合わせフォームも動いている。
運営者が見ても異常に気付かない。
しかし裏側では、詐欺サイトへの誘導やスパムページの設置、データの抜き取りなど、本来の目的とはまったく関係のないことに利用されている場合があります。
サイト放置のリスク
特に危険なのが、長期間放置されているホームページです。
更新されていない。
管理画面にも誰もログインしていない。
アクセス解析も見ていない。
そもそも誰も気に掛けていない。
そんな状態のホームページは、不正アクセスされても発見が遅れがちです。
そして発見されないということは、攻撃者にとっては非常に都合が良いということでもあります。
ホームページを改ざんしても気付かれない。
不正なプログラムを仕込んでも気付かれない。
別の攻撃の踏み台にしても気付かれない。
気付いた頃には、想像以上に被害が広がっていることがあります。
サイバー被害は「自損事故」という誤解
多くの人は、サイバー被害を「自損事故」のように考えています。
「もし被害に遭っても、自社が困るだけ」
そんなイメージです。
しかし実際は違います。
不正アクセスを受けたホームページが、第三者を攻撃するための道具として利用されることがあります。
不正アクセスの被害に遭った会社は、多くの場合「被害者」ですが、そのホームページが第三者への攻撃に利用された場合、管理状況によっては責任を問われる可能性もあります。
つまり「被害者」であると同時に、知らないうちに「加害者」にされてしまう可能性があるのです。
セキュリティリスクは、もはやゼロにはできない
きちんと整備をした車、しっかり交通ルールを守って慎重に運転したら、事故に遭う確率はゼロです。
そんなわけないですよね。
サイバーセキュリティにはいろいろなものがありますが「セキュリティリスクを低減させることを目的としており、すべてのセキュリティリスクの排除を保証するものではない」とされているものがほとんどです。
きちんと対策していたとしても、サイバーセキュリティリスクも自動車事故と同様、ゼロにはならないと考えた方が妥当です。
最近のセキュリティでは、侵入を100%防ぐことよりも、侵入されたときに、いかに早く検知し、封じ込め、復旧するかが重視されています。
何かあったときの対策は？
しっかり対策してもサイバーセキュリティリスクをゼロに出来ない以上、自動車事故と同様に「何かあったときに備えておく」ことが必要になってきます。
サイバー攻撃は「被害に遭ったこと」よりも、その後の初動で被害の大きさが変わります。
火災でも、地震でも、交通事故でも、最初の行動が重要なのと同じです。
ホームページも「何かあったらどこに連絡するか」が決まっているかどうかで、その後の対応は大きく変わります。
セキュリティ対策とは、ソフトウェアを更新したり、セキュリティ製品を導入したりすることだけではありません。
事故が起きたときに慌てないよう、相談先や対応手順をあらかじめ決めておくことも、大切なセキュリティ対策なのです。
作ることよりも、公開し続けることの方が難しい時代になった
私たちは、経営者にITの専門家になって欲しいとは思っていません。
サーバーの仕組みやプログラムの知識を身につける必要もありません。
経営者に必要なのは「会社のホームページを安全に運営するための判断」をすることだと思っています。
ホームページを放置しない。
定期的に保守やメンテナンスを行う。
そして、万が一のときに相談できる相手を決めておく。
それは、会社の信用を守るための経営判断だと思っています。
ホームページは、今や会社の名刺やパンフレットではありません。
インターネットという社会につながっている、一つのシステムです。
だからこそ、自社を守るためだけではなく、取引先やお客様、そしてインターネット全体に迷惑を掛けないための責任もあります。
「うちは小さい会社だから関係ない。」
そんな時代は、もう終わりました。
公開する以上は責任がある。
そして、その責任とは「絶対に事故を起こさないこと」ではありません。
事故が起きる可能性を理解し、万が一のときに被害を最小限に抑えられるよう備えておくこと。
私は、それがこれからのセキュリティ対策だと思っています。
だから、毎月の保守やセキュリティ対策を「もったいない」と感じるくらいなら、ホームページを公開すること自体を、もう一度考え直した方がいい。
かなり極端な言い方ですが、タイトルにはそんな思いを込めました。
ホームページを公開するということは、「作る」ということではありません。
「社会につながるシステムを運営する」ということです。
だから、公開する以上は責任がある。
それがホームページを持つということだと思っています。