株式会社フィーノ
当社は、中小企業が自社のセキュリティ対策を点検するための無料の診断サイト「11html セキュリティ診断と道具箱」を運営しています。このたび診断の範囲を広げ、Webサイト、会社のメール、AIの使い方、顧客情報の取り扱い、組織の5つの領域を、それぞれ100点満点で評価できるようにしました。
登録は不要で、料金もかかりません。診断の項目と解説は、当社代表の飛田（情報処理安全確保支援士）が確認しています。
中小企業に点検が必要な理由
大手企業と取引のある会社では、取引先から「セキュリティチェックシート」への回答を求められることが増えています。「Webサイトは暗号化していますか」「退職者のアカウントはすぐに止めていますか」「生成AIの社内ルールはありますか」といった質問が数十項目並び、すべてに答えなければなりません。
背景には、取引先を経由した被害があります。大企業が自社の守りを固めても、取引のある会社が攻撃を受ければ、そこからメールを偽装されたり、預けた情報が漏れたりします。経済産業省もサプライチェーン全体の対策を評価する制度づくりを進めており、取引先に対策の状況を尋ねる場面は今後も増える見込みです。
また、攻撃する側は相手を会社の規模で選んでいるわけではありません。公表済みの弱点が残っているサイトや設定の甘いメールを、プログラムを使って自動で探しています。会社が小さいから狙われない、ということはありません。
当社はこの診断を、チェックシートでよく聞かれる項目を5つの領域に分け、自社がどこまでできているかを先に把握していただくために作りました。
5つの領域と、確かめる理由
1. Webサイト（外から自動で測定、18項目）
会社のドメイン名を入れると、当社のサーバーが一般の閲覧者と同じ方法でサイトを開き、設定を確かめます。
- SSL証明書が有効か：証明書が切れていると、ブラウザに警告が出て、お問い合わせフォームの入力も暗号化されません。
- http で開いても https に切り替わるか：暗号化されていないページが残っていると、通信の途中で内容を読まれたり書き換えられたりするおそれがあります。
- 設定ファイルの控えや記録ファイルが外から見えていないか：データベースのパスワードが書かれていることがあり、見られた時点で侵入の一歩手前です。
- ドメインの有効期限に余裕があるか：ドメインが切れると、サイトだけでなく会社のメールも止まります。第三者に取られると、取り戻せないこともあります。
このほか、ブラウザに安全のための指示を出しているか、古い部品を使っていないか、WordPressのユーザー名が外から見えていないかなどを確かめます。当社のサイトをこの診断で調べた結果は、こちらの記事でご報告しています。
2. 会社のメール（外から自動で測定、10項目）
ドメイン名かメールアドレスを入れると、なりすましメールを防ぐ設定（SPF、DKIM、DMARC）を確かめます。
この設定がないと、誰でも御社の名前をかたったメールを送りやすくなります。取引先に「振込先が変わりました」という偽の請求メールが届けば、取引先がお金をだまし取られ、御社も信用を損ないます。さらに、御社が送った本物のメールが迷惑メールとして扱われることもあります。Gmailなど大手のメールサービスは、大量にメールを送る送信者にこれらの設定を求めています。
設定があっても、様子を見るだけの段階のままでは偽のメールはそのまま届きます。診断では、設定の有無だけでなく、偽のメールを実際に止められる段階になっているかまで確かめます。
3. AIの使い方（質問に答える形式、8問）
生成AIは便利ですが、入力した内容はサービス事業者のサーバーに送られます。設定によっては学習に使われ、取引先との秘密保持契約に反するおそれもあります。
質問では、使ってよいサービスを会社として決めているか、入力してはいけない情報を社員に文書で伝えているか、アカウントを会社で管理しているか（社員の個人アカウントで業務をしていないか）、AIが作った文章を人が確認してから外に出しているか、などを伺います。
4. 顧客情報の取り扱い（質問に答える形式、10問）
情報漏えいの原因で多いのは、メールの誤送信や、クラウドの共有設定の誤りです。
質問では、どこにどんな顧客情報があるかを把握しているか、退職者のアカウントをその日のうちに止めているか、重要なサービスで二段階認証を使っているか、などを伺います。2022年4月からは、一定の漏えいが起きた場合に個人情報保護委員会への報告と本人への通知が義務になりました。報告には期限があるため、担当者が手順を知っているかどうかも確かめます。
5. 組織（質問に答える形式、11問）
パソコンの更新、ウイルス対策、バックアップ、責任者の決め方、被害が起きたときの最初の手順を伺います。
特に重く見ているのはバックアップです。ランサムウェア（データを暗号化して身代金を要求する攻撃）は、社内のネットワークにつながっているバックアップまで暗号化します。切り離した場所に控えがなければ、身代金を払うか、事業を止めるかを迫られます。控えがあっても、実際に戻せるかを試していなければ、いざというときに役に立たないことがあります。
結果の見方
5つの領域とも、100点満点の点数と、A〜Eの5段階の評価が出ます。項目ごとに「何のために必要か」「取引先のチェックシートでどう聞かれるか」「直し方」を添えていますので、結果を見ながらそのまま対策に取りかかれます。
項目のうち、被害につながりやすいものには★を付けています。★の項目が1つでも欠けていると、点数が高くても評価はCまでにしています。対策は★の項目から始めることをお勧めします。
一方、できていれば望ましいものの、中小企業の標準とまでは言えない項目は「任意」とし、対応していなくても減点しません。
安心してお使いいただくために
- Webサイトとメールの診断は、一般の閲覧者やメールサーバーと同じ方法で、公開されている情報だけを確かめます。ログインを試したり、攻撃をしかけたりはしません。ご自身の会社のドメインでお使いください。
- 診断の結果はサーバーに保存しません。同じドメインを続けて診断するときのために、測定した値を10分ほど置き、その後は自動で消します。
- AIの使い方、顧客情報、組織の3つの領域は、回答も採点もお使いのブラウザの中だけで行い、当社のサーバーには送りません。
この診断でわからないこと
外から確かめられるのは、公開されている設定までです。サーバーの内部の設定、管理画面のパスワードの強さ、すでに不正に侵入されていないかどうかは、この診断ではわかりません。また、質問に答える3つの領域は自己評価です。
結果は診断した時点の目安で、安全を保証するものではありません。どの領域も良い評価だったとしても、パソコンの更新やパスワードの管理など、日々の運用を続けることが前提です。
あわせて使える道具箱
同じサイトに、文字数のカウント、QRコードの作成、パスワードの生成など、35本の道具を置いています。このうち31本はお使いのブラウザの中だけで動き、入力した内容がサーバーに送られることはありません。SSL証明書やDNSの設定を1項目だけ詳しく見たいときに使える、個別の診断ツールも用意しています。
まずは自社のドメインでお試しください
11html セキュリティ診断にアクセスし、会社のドメイン名を入れるだけで始められます。取引先からチェックシートが届く前に、一度ご自身の会社の状態をご覧ください。
結果の読み方がわからない場合や、対策を任せたい場合は、当社のお問い合わせフォームからご相談ください。