「詳しい人がいない」で済ませてはいけない　中小企業が外部のセキュリティサービスを使う前に決めておくべきこと

　会議でセキュリティ対策の話になると、「うちにはセキュリティに詳しい人がいないから」という流れになり、話が自然消滅してしまうという経験はないでしょうか。採用しようにも応募は来ず、今いる社員に任せる余裕もないため、後回しにするほかないと感じている経営者は少なくないでしょう。 　ですが、専門家がいないことと、守りが手薄なままでいることは別の問題です。外部の監視や診断のサービスを使えば専門家を雇わなくて済みますが、契約しただけで安心できません。夜中に「怪しい通信を見つけました」と連絡が来ても誰も何も対応できないため、セキュリティ体制が無い会社でも最低限事前に決めておかなくてはいけないことがあります。

　会議でセキュリティ対策の話になると、「うちにはセキュリティに詳しい人がいないから」という流れになり、話が自然消滅してしまうという経験はないでしょうか。採用しようにも応募は来ず、今いる社員に任せる余裕もないため、後回しにするほかないと感じている経営者は少なくないでしょう。 　ですが、専門家がいないことと、守りが手薄なままでいることは別の問題です。外部の監視や診断のサービスを使えば専門家を雇わなくて済みますが、契約しただけで安心できません。夜中に「怪しい通信を見つけました」と連絡が来ても誰も何も対応できないため、セキュリティ体制が無い会社でも最低限事前に決めておかなくてはいけないことがあります。

　今回はSOC、脆弱性診断、CSIRT支援といった外部サービスをどう使い分け、何を社内に残すべきかを経営の目線で整理します。 ■人材不足は“当面続く”前提で考える 　足りない人材を採用で埋めるのは、大企業でも簡単ではありません。セキュリティ専門家の国際団体ISC2が発表した人材調査では、日本の回答者の42％が「必要な人材を確保できない」と答え、世界平均の29％を大きく上回りました。「魅力的な給与を提示できていない」という回答も39％と、世界平均の25％より高くなっています。専任の担当者を置く余裕のない中小企業にとって、条件はさらに厳しいと言えるでしょう。

　そう考えると、外部の専門家の力を借りる前提で対策を検討するのが現実的です。MM総研が国内企業のセキュリティ担当者1000人に聞いた調査では、約8割が自社の人材不足を認識しており、対策の進め方は「外部委託中心」が39％、「外部委託と内製を半々」が28％と、外部を前提にする回答が7割近くを占めています。 　調査結果で気になるのは、外部に委託している業務として「戦略の意思決定」を挙げた回答が36％で最も多かった点です。専門家の助言を受けること自体は有効ですが、最後に誰が決めるのかがあいまいなまま任せる範囲を広げると、外部活用はかえって危うくなります。外部に任せられるのは見張りや初動の処置までであり、業務を止めるか、被害をどう公表するかといった経営の判断までは引き受けてもらえません。

■SOC・診断・CSIRT支援は使う場面で分ける 　外部のセキュリティサービスは名前が似ていて違いがわかりにくいものですが、代表的な3つはいつ働くかで分けると整理しやすくなります。 ・毎日の見張り役になるSOC(セキュリティ監視センター。ネットワークやパソコンを24時間見張り、怪しい動きを見つけたら知らせる) ・定期点検にあたる脆弱性診断(専門家がウェブサイトやシステムの弱点を探す。年1回やシステムの変更時に受けるのが一般的)

・もしものときの駆けつけ役になるCSIRT支援(社内のインシデント対応チーム。CSIRTの立ち上げや、被害が出たときの調査と復旧を手伝う) 　どれから始めるかは、外から見えるものと社内にあるものに分けて考えるとわかりやすいです。インターネットに公開しているウェブサイトや受発注システム、VPN装置(社外から社内のネットワークにつなぐ機器)は攻撃者が直接触れられるため、弱点を先に見つける脆弱性診断が向いています。

　一方、社内のパソコンやサーバーは、メールの添付ファイルなどから入り込まれたあとに、いかに早く気づけるかが勝負になるため、SOCサービスが向いています。ただし、どのサービスを選んでも被害は起こりうるため、もしものときに相談できる先だけは最初に確保しておくと安心です。 　依頼先を選ぶときは、情報処理推進機構(IPA)が公開している「情報セキュリティサービス基準適合サービスリスト」が手がかりになります。経済産業省の基準に適合すると審査登録機関が判定したサービスを、脆弱性診断やセキュリティ監視・運用など分野ごとに載せたものです。ただし、IPAは掲載したサービスを保証しておらず、載っていることは最低限の目安にとどまります。自社に合うかどうかは、後で紹介する契約の確認で見極めるのがよいでしょう。

　中小企業であれば、相談窓口、異常の監視、初動対応の支援、簡易なサイバー保険をまとめて提供する「サイバーセキュリティお助け隊サービス」も選択肢になります。基本の類型では、ネットワークを監視する型で月額1万円以下、パソコンごとに監視する型で1台あたり月額2000円以下が価格の要件とされています(ScanNetSecurity)。対象を広げるほど費用は上がるため、見積もりは監視や診断の対象(何台のパソコンか、どのシステムか)を決めてから取ると、各社を同じ条件で比べられます。

■任せきりにすると“知らせ”が届いても止まらない 　外部を使えば安心とは限りません。異常に気づく人と止める権限を持つ人が別だと、通知が届いても止める判断が遅れがちです。2013年に米小売り大手ターゲットで約4000万件のカード情報が盗まれた事件では、同社のシステムを24時間見張っていた別拠点のチームが不審なプログラムの警告を受けてアメリカの本社に知らせていました。 　ところが本社はその警告に基づいて動かなかったと、米メディアのGovInfoSecurityが報じています。同社は「評価したうえで対応した」と説明していますが、同じ会社の中でさえ知らせが止める判断につながらなかったのですから、社外の業者が見張る場合はなおさら注意が要ると言えるでしょう。見張りを外部に任せても、知らせを受け取り、何を止めるかをすぐに決める態勢は自社で整えておく必要があります。

　もう1つの落とし穴は、誰が何を担当するのかがあいまいなまま任せてしまうことです。21年10月にランサムウェアの被害を受けた徳島県のつるぎ町立半田病院では、VPN装置の弱点を突かれて侵入されたとみられています。同院の「コンピュータウイルス感染事案有識者会議調査報告書」は、IT部門を持たない病院がセキュリティ対策を事業者やベンダーに「頼らざるを得ない状況」にあったと述べています。電子カルテの事業者と機器を設定した事業者の間では担当範囲の認識が食い違っており、報告書によれば、設定の責任とその後のサポートは「完全に宙に浮いていた」のです。

　少ない人数で地域の医療を支える現場では、外部に頼るのは自然な成り行きであり、報告書もそう認めています。問題は頼ったことではなく誰がどこまで担うのかを決めないまま任せていた点にあります。「パソコンのことはいつもの業者に任せている」という会社でも、その業者との契約にセキュリティの更新まで含まれているかは、一度確かめておく価値があります。 ■外部を生かすための「3ルール」 　外部サービスを生かすためのルールは、「判断する人を決める」「任せる範囲を書き出す」「報告を経営が聞く」の3つです。核になるのは1つ目であり、残りの2つはそれを支える工夫です。

　1つ目は社内に「判断する人」を1人決めることです。外部から「怪しい通信を見つけた」と連絡が来たとき、ネットワークを切るか、システムを止めるかを夜間や休日でも決められる人を指名しておきます。専任である必要はなく、総務部長や経営者自身が務めてもかまいません。とはいえ、夜中に突然「切りますか」と聞かれても、権限を渡されただけでは決めきれないものです。パソコン1台ならその人がすぐに切り離してよい、工場や店舗のシステムを止めるときは社長が決める、というように、止める範囲が広がるほど決める人の役職を上げる基準を平時に決めておくのが有効です。

　2つ目は契約で「どこまでやってもらうか」を書き出すことです。少なくとも次の4点は契約前に書面で確かめておきましょう。 ・見る範囲(どのサーバー、パソコン、クラウドが監視や診断の対象になるか) ・知らせる基準と連絡先(どの程度の異常で、誰に、夜間や休日も含めてどれくらいの時間で連絡が来るか) ・対応の範囲(通信の遮断や端末の切り離し、被害の痕跡の調査まで外部が行うのか、知らせるだけか) ・修正の担当(見つかった弱点の修正やソフトの更新を誰が行うか)

　3つ目は外部からの報告を少なくとも3カ月に1回は経営会議で聞くことです。このとき「検知○万件」といった件数より、外部が異常を見つけてから連絡が来るまでと、連絡を受けてから社内で決めるまでにかかった時間を確かめてください。 　連絡が来るまでに時間がかかっているなら、外部に連絡の手順を見直してもらう必要がありますし、連絡を受けてから決めるまでに時間がかかっているなら、1つ目で決めた「判断する人」や止めてよい範囲の基準を見直してください。

■専門家を雇えなくても“守れる会社”になる 　人材がいないことは、対策をしない理由にはなりません。判断する人を決め、任せる範囲を契約で書き出し、報告を経営が聞くという3点を押さえれば、専門家を雇えない会社でも外部の力を生かせます。そのうえで判断する人が少しずつ知識を付けていけば、外部への質問も的確になります。まずは、自社で「連絡を受けて決める人」が誰で、その人が何を止めてよいのかを確かめることから始めましょう。