情報セキュリティことはじめ～自社のセキュリティ、どこからはじめる？～
目次[非表示]
「セキュリティ対策をしなければ」とは思いつつ、専任の担当者がおらず、何から手をつければよいか分からない、そうした状況に陥っている企業様も多いのではないでしょうか。
情報システムの担当者や責任者が少数であったり、他業務との兼任体制である企業は少なくなく、限られた時間の中で対策の優先順位を決めるのは簡単ではありません。
本記事では、これからセキュリティ対策に取り組む企業様向けに基本的な枠組みと、最初の一歩の踏み出し方を紹介します。
セキュリティ対策が必要とされる背景
サイバー攻撃の被害は、決して一部の大企業だけの問題ではありません。取引先や委託先を経由した攻撃、あるいは中小企業を主な標的とした攻撃も報告されており、事業規模の大小にかかわらず対策が求められます。
技術の発展により進むネットワーク環境の複雑化とともに攻撃の手口も複雑化しており、一つの対策を導入すれば安心という単純なものではなくなってきました。
また、近年取引先からセキュリティ対策の状況を確認されるケースが増えており、経済産業省が構築を進める「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」への関心も高まっています。
だからこそ、個別の脅威や製品を追いかける前に、「自社としてどのようにセキュリティを設計するか」という基本軸を整理しておくことが重要になります。
複数の視点からみるセキュリティの考え方
セキュリティ対策と聞くと、ウイルス対策ソフトやファイアウォールといった製品を思い浮かべる方が多いかもしれません。しかし、セキュリティには複数の切り口があり、どれか一つが正解というわけではありません。
代表的な整理の仕方として、次のような視点が挙げられます。
防ぐ視点：攻撃を未然に防ぐための対策（ファイアウォール、認証強化、マルウェア対策など）
見つける視点：侵入や異常な挙動をいち早く察知するための監視・検知
対応する視点：インシデント発生時に被害を広げないための初動対応や復旧手順
管理する視点：守るべき情報資産やアクセス権限を把握し、ルールとして運用する体制
これらはどれか一つを選ぶものではなく、組み合わせるものです。防ぐ視点に偏ると対応手順が整っていない、ルール整備ばかりでは攻撃を検知できない、といった抜け漏れが生じます。「複数の視点が必要」という前提に立つことが第一歩です。
一つの脅威に対する見方の違い
この「複数の視点」という考え方は、個別の脅威に対する備えを検討する際にも当てはまります。例えば、企業に大きな被害をもたらすランサムウェアを例に見てみましょう。
ランサムウェアは、主にVPN機器などのネットワーク機器の脆弱性を悪用し、感染への足掛かりにすることが多いとされています。これに対する対策は一つではありません。
・VPN機器やOSの更新プログラムを適用し、脆弱性を残さないようにする（防ぐ視点）
・二要素認証など強固な認証手段を導入する（防ぐ視点）
・ネットワーク内の不審な挙動を検知するため、EDRの導入を検討する（見つける視点）
・データやログのバックアップをオフラインで保管し、復旧手順をあらかじめ確認しておく（対応する視点）
一つの脅威であっても、侵入を防ぐ対策、侵入後に気づくための対策、被害が発生した後の対応策と、性質の異なる複数のアプローチがあることが分かります。
どれか一つだけで終わり、とはならない点に注意が必要です。
実際の着手順番
セキュリティには複数の視点でのアプローチがあることを踏まえたうえで、実際にどこから着手すればよいのでしょうか。
ここで重要になるのが、製品の比較検討から入るのではなく、自社の「利用目的」と「対象」を把握することです。
実際に、SCS評価制度の中で対応の第一歩として重視されているのは、特定の製品を導入することではなく、自社が保有するIT資産やデータの現状を把握し、責任体制やルールを整理することだという指摘があります。
具体的には、次のような点を確認することが出発点になります。
・社内で使用しているパソコン、サーバー、クラウドサービスなどのIT資産をどの程度把握できているか
・重要な情報がどこに保存され、誰がアクセスできる状態になっているか
・セキュリティに関する責任者や、インシデント発生時の連絡体制が決まっているか
これらは、いずれも製品を導入する前に確認できる事柄です。自社の利用目的（何のためにそのシステムやデータを使っているか）と対象（どの機器・データ・利用者が関係するか）が把握できていないまま対策を進めると、本来守るべき部分に対策が届いていなかったり、逆に過剰に対策へのコストをかけてしまうことになりかねません。
対策の優先順位の決め方
自社の現状把握ができたら、次は優先順位の検討です。すべての対策を同時に進めることは、限られた人員体制の中小企業にとっては現実的ではありません。次のような手順で整理すると、着手しやすくなります。
①資産の棚卸し
社内のIT資産と、そこに含まれる情報の重要度を大まかに整理する。
②不足の洗い出し
現状の対策が「防ぐ」「見つける」「対応する」「管理する」のどの視点で不足しているかを確認する。
③技術的な対策を検討する
多要素認証の導入や、ルール・手順書の整備など、比較的低コストで始められるものから優先する。
この順序で進めることで、「何のために」「何を」導入するのかが明確になり、投資の説明もしやすくなります。こうした対策には、IT資産管理ツールやEDR、UTM、IDaaSといったカテゴリの製品が、それぞれ「管理する」「見つける」「防ぐ」といった視点を補完する形で有効です。特にIT資産管理ツールは、上記の「資産の棚卸し」を継続的に行ううえでの基盤となるため、対策の初期段階で検討する価値があります。
まとめ
セキュリティ対策には唯一の正解はなく、「防ぐ」「見つける」「対応する」「管理する」という複数の視点を組み合わせる必要があります。同じ脅威に対しても対策の角度は一つではありません。まずは自社の利用目的と対象を把握することから始め、優先順位を付けて一歩ずつ取り組んでいくことが、専任担当者がいない体制でも無理なく対策を進める近道です。
詳細は、株式会社宝情報までお気軽にお問い合せください。
