中堅・中⼩企業にとって、情報セキュリティ対策は大きな課題です。今回はその中でも「人手不足」「専門知識不足」という、セキュリティ対策2大課題を解決し、対策する方法について考えます。
セキュリティ対策の2大課題、人手不足・知識不足
「セキュリティ対策をしたいけれど専任担当者がいない」
「本当に脅威が除去できているのか分からない」
「セキュリティ製品の運用が追い付かないし、ログを見ても分からない…」
あらゆる企業がサイバー攻撃の標的となる今。中堅・中小企業はセキュリティ対策を行っていますが、様々な課題を感じているようです。ソフトクリエイトの調査によると、500〜999名の企業が抱えるセキュリティ対策への課題として特に多かったのが「セキュリティ対策できる体制・人材・リソースが無い」と「自社内のセキュリティに関する専門知識や知見が不足している」の２項目でした。
※調査結果はすべてソフトクリエイト「情報システム部門の現状とITシステム活用状況に関するアンケート 2018」より、500〜999名企業の回答
「人手不足」「知識不足」を埋めるために、セキュリティサービスにアウトソースすることは解決策として有効でしょう。しかし、セキュリティサービスに監視などを依頼し、レポートやログ、通知が届いても次のような問題に直面するケースも少なくありません。
「サービスから毎日のように届くセキュリティアラートが確認しきれない」
「ログを見てもよくわからない」
「『攻撃を受けています』と通知されても、どう対処すればよいのかわからない」
つまり、自社が「安全」なのか「対策が必要」なのかわからず、対策が必要な場合には何をすべきかわからないといった状況になってしまいやすいのです。
「現在、何も起きていない」と言えるセキュリティ対策を目指そう
中堅・中小企業の情シスにとって重要なのは「社内のセキュリティを保つこと」ですが、それには「今はセキュリティ上の脅威はありません」と、明確な根拠とともに上司や経営層に報告できる体制を作ることです。または、「攻撃を受けた」状態にあり、「侵入を許し対策が必要な状況にある」ことがわかり、「その対策もできる」ようになっていることです。
大手向けのセキュリティサービスの場合、ログ通知などセキュリティの技術面での提供はあるものの、運用管理面での提供は受けられない場合があります。中堅・中小企業向けには、技術面から運用管理面まで含めた、きめ細やかなサービスが必要となります。
＜中堅・中小企業向け セキュリティサービスの選定ポイント（一例）＞
●セキュリティデバイスで見逃す攻撃を各種ログから検知できること
●影響度判断、リスク分析結果、対処方法など実情に即した内容を報告してもらえること
●目的や予算に合わせたサービスを選べること
●専門知識がない担当者でも運用できること
●セキュリティ専任部門／担当者がいなくても運用できること
●低コストで中堅・中小企業にとって適切な対策内容の提供を受けられること
まとめ
ほかにも中堅・中小企業がセキュリティサービスを選ぶ上でのポイントを下記にまとめました。このような観点から、自社に適したセキュリティサービスを選び、「現在、何も起きていない」ことがはっきりと言える体制作りを目指してはいかがでしょうか。
