ソフト会社って何なん？(第10話)セキュリティーとは？
第10話 セキュリティとは？
今では、会社の仕事でインターネットを使わない日はほとんどありません。
メール、インターネットバンキング、クラウドサービス、オンライン会議、取引先とのデータ交換。
便利になった反面、「セキュリティ」という言葉を耳にする機会も非常に増えました。
ソフト会社から、
「セキュリティを強化した方がいいですよ」
「情報漏えい対策が必要です」
「セキュリティ監視サービスを導入しませんか」
と提案された経験のある経営者の方も多いのではないでしょうか。
もちろん、セキュリティは大切です。
しかし、
「セキュリティ対策を導入すれば安心」
というほど単純なものでもありません。
今回は、難しいセキュリティ技術の話ではなく、中小企業の経営者として、セキュリティをどのように考えれば
よいのか。
私自身の現場経験をもとにお話ししたいと思います。
セキュリティで何から守るのか
セキュリティ上の脅威には、さまざまなものがあります。
専門的に分類すれば、もっと多くの種類があるでしょう。
しかし、経営者の立場から考えるのであれば、私はまず大きく三つに分けて考えると分かりやすいと思っています。
① 情報を壊される
一つ目は、会社で使用しているデータやシステムを破壊されることです。
大切なデータが壊れてしまえば、場合によっては会社の業務そのものが止まってしまいます。
② 情報が外へ漏れる
二つ目はいわゆる「情報漏えい」です。
顧客情報、取引先情報、社員情報、製品情報、価格情報、設計情報など、会社が外部に出したくない情報が流出してしまうことです。
特に顧客や取引先から預かっている情報については、自社だけの問題では済みません。
③ 情報やシステムを人質に取られる
三つ目が、代表的なものとしてランサムウェアがあります。
データを暗号化するなどして使用できなくし、その復旧などと引き換えに金銭を要求する犯罪です。
実際には、もっと多くの攻撃方法があります。
しかし、中小企業の経営者が最初にセキュリティを考えるのであれば、
「壊される」
「漏れる」
「使えなくされる」
まずは、このくらいの整理から始めてもよいのではないでしょうか。
あなたの会社は、何を守るのですか？
ここが非常に重要です。
セキュリティ対策は、すべての会社が同じである必要はありません。
例えば銀行や公共性の高いシステム、大量の個人情報を扱う企業などでは、非常に高度なセキュリティが求められます。
当然、そのためには多くの設備、人員、運用、そして費用が必要になります。
では、一般的な中小企業でも、まったく同じレベルのセキュリティ対策が必要なのでしょうか。
私はそうではないと思っています。
まず考えていただきたいのは、
「自分の会社は、何を絶対に守らなければならないのか」
ということです。
例えば、
顧客の個人情報。
取引先から預かっている情報。
自社製品の設計情報。
製造方法や技術情報。
販売価格や原価情報。
会社によって、大切な情報は違います。
すべての情報を同じ強さで守ろうとするのではなく、まず自分の会社にとって本当に大切な情報が何なのかを
整理する。
そのうえで、その重要度に応じたセキュリティ対策を考える。
特に限られた予算の中で経営している中小企業では、この順番が大切だと思います。
本当に大切な情報は、どこに置くのか
セキュリティというと、
「コンピューターに保存した情報を、どうやって守るのか」
という話になりがちです。
しかし、それだけがセキュリティではありません。
会社の中には、
「これだけは絶対に外へ出せない」
という情報もあると思います。
漏えいしたら取り返しがつかない。
現在の会社のセキュリティ体制で、本当に守り切れるのか不安がある。
そのような情報であれば、セキュリティソフトを追加して守るだけではなく、
インターネットにつながる環境から分離して管理する
という考え方もあります。
もちろん、ネットワークから分離すれば不便になります。
他のシステムとのデータ連携も難しくなります。
また、USBメモリなど別の経路から情報が持ち出される可能性についても考えなければなりません。
ですから、
「ネットワークから切り離せば安全です」
という単純な話でもありません。
しかし、
「全部つないで、あとから守る」だけがセキュリティではない。
本当に大切な情報であれば、
「どこに置くのか」
というところから考えることも、一つの方法だと思います。
セキュリティは業務と一緒に考える
では、何でもネットワークから切り離せばよいのでしょうか。
もちろん、そうではありません。
安全性だけを考えて、すべての情報を隔離してしまえば、仕事は非常に不便になります。
システムを導入する目的の一つは、業務を効率化することでもあります。
どのような仕事をするのか。
誰がその情報を使うのか。
どんな情報を扱うのか。
外部とのデータ交換は必要なのか。
こうした実際の業務の流れと一緒に、セキュリティを考える必要があります。
そう考えると、私は一つ疑問に思うことがあります。
まだ業務の仕組みやシステムの使い方が十分に決まっていない段階から、
「セキュリティ対策 ○○万円」
「セキュリティ監視サービス 月額○万円」
という金額が先に出てくることがあります。
セキュリティが不要だと言っているのではありません。
むしろ、大切だからこそ、
「このセキュリティは、何を守るためのものですか？」
と確認してほしいのです。
守るものが分かり、業務の流れが分かって初めて、その会社に必要なセキュリティも見えてくるのでは
ないでしょうか。
「監視しているから安心」なのでしょうか
そして、もう一つ経営者の方に知っておいていただきたいのが、
「監視します」
というセキュリティサービスです。
「24時間監視しています」
「異常な操作を検知すると警告を出します」
こう説明されると、非常に安心すると思います。
何か異常が起きても、誰かがすぐに発見して対処してくれる。
そんなイメージを持つかもしれません。
私はこれを、自衛隊の「スクランブル発進」に例えると分かりやすいと思っています。
レーダーで異常を発見する。
警報が出る。
そして必要であれば、スクランブル発進して対応する。
ここまで一連の仕組みになっていれば、非常に分かりやすいでしょう。
では、会社のセキュリティ監視ではどうでしょうか。
異常を検知する。
警告を出す。
記録を残す。
その先の対応まで含まれているのでしょうか。
ここを確認することが重要です。
警告を出すことと、止めることは違います
これは私自身が経験したことです。
ある会社では、登録されていないUSBメモリをパソコンに接続すると警告が出るセキュリティシステムが
導入されていました。
非常に高価な監視ソフトウェアでした。
確かに自分のPCの画面に警告は出ました。
記録も残ります。
ところが、そのUSBメモリを使うこと自体はできました。
つまり、
「警告する仕組み」はあっても、「止める仕組み」にはなっていなかったのです。
警告が出たと同時にシステムが停止したり、端末がネットワークから隔離されたりするような、
いわば自衛隊の「スクランブル発進」にあたる対応はありませんでした。
さらに、その警告を誰かが常時確認して、その場で対応する体制にもなっていませんでした。
例えるなら、
レーダーで異常を発見して警報は鳴った。しかし、スクランブル発進する体制がなかった。
ということです。
ただし、このような監視の仕組みに意味がないということではありません。
「操作を監視されている」「記録が残る」と社員が認識することで、
不正な操作を思いとどまらせる抑止力として使うのであれば、それも一つのセキュリティ対策です。
一方で、会社が求めているものが、
「危険な操作を実際に止めること」
なのであれば、警告や記録だけでは目的を達成できません。
つまり経営者として、
「監視による抑止を求めているのか、それとも実際に遮断して防御するところまで求めているのか」
ここを明確にしておくことが大切です。
もちろん、現在では技術も進歩しています。
異常を自動的に遮断したり、問題のある端末をネットワークから隔離したり、専門の担当者が初動対応まで
行ったりするサービスもあります。
だからこそ、経営者に確認していただきたいのです。
「監視してくれるのですか？」
だけではなく、
「異常を発見したら、そこから何をしてくれるのですか？」
と。
「監視」という言葉ではなく、中身を見る
監視や記録そのものが無意味なのではありません。
異常を早期に発見するためにも必要ですし、不正な操作の抑止力にもなります。
また、問題が起きた後に、いつ、誰が、何をしたのかを調査するためにも重要な情報になります。
問題は、
「監視していること」と「被害をその場で止めてくれること」は同じではない
ということです。
セキュリティ監視サービスを契約するときには、
検知 → 通知 → 判断 → 遮断・隔離 → 調査 → 復旧
この流れの中で、そのサービスがどこまで対応してくれるのかを確認してください。
異常を知らせるところまでなのか。
その場で被害を止めるところまでなのか。
その後の調査や復旧まで対応してくれるのか。
同じ「監視サービス」という名前でも、ここが違えばサービスの意味は大きく変わります。
「24時間監視しています」という言葉だけで安心するのではなく、実際に何をしてくれるサービスなのか。
そこを理解したうえで契約することが大切です。
セキュリティは「入れれば安心」ではありません
セキュリティを考える方法は、一つではありません。
セキュリティソフトやサービスを使って守る方法もあれば、本当に重要な情報を、危険にさらされにくい場所
や構成で管理する方法もあります。
大切なのは、製品を導入したという事実ではなく、
その会社にとって何が大切で、それを守るためにどんな仕組みが必要なのか。
そこを考えることです。
そして、どんなに優れた仕組みでも、導入しただけで終わりではありません。
実際の業務の中で正しく運用されて、初めて会社を守る仕組みになるのだと思います。
最後に ― セキュリティとは？
セキュリティは、高価な製品やサービスを導入すれば完成するものではありません。
会社によって、守るべき情報も違えば、必要な対策も違います。
だからこそ、
自分の会社にとって本当に大切なものは何なのか。
まず、そこから考えてみてください。
その答えが分かれば、どこまで守るべきなのか、どのような対策にお金を使うべきなのかも
見えてくると思います。
もちろん、セキュリティの技術やサービスは日々進化しています。
私が38年間の現場で経験してきた時代と現在とでは、技術的な対策やサービスの内容も
大きく変わっているでしょう。
これからも、新しい技術やサービスが次々に登場してくると思います。
だからこそ、特定の製品や技術だけを見るのではなく、
「これは自分の会社の何を守るためのものなのか。」
その考えを一つ頭の中に置いて、新しいセキュリティ製品やサービスを見ていただきたいと
思います。
技術が変わっても、会社として「何を守るのか」を考えることの大切さは変わらない。
私はそう考えています。
次回から第2章へ
ここまで第1章では、提案書や見積書を読むときに、経営者の方に知っておいていただきたい基礎知識
についてお話ししてきました。
そして次回からは、いよいよ本丸である、
「システム開発」
についてお話ししていきます。
第2章の第1話では、
「システム開発は、どのような方法で進めるのか」
についてお話しします。
システム開発には、さまざまな進め方があります。
経営者がそのすべてを詳しく知る必要はありません。
しかし、自分の会社のシステムが、どのような考え方で、どのように作られていくのか。
その基本的なイメージを持っておくことは大切です。
次回から、
「ソフト会社って何なん？（第2章）― システム開発編」
を始めます。
※本記事は、筆者が38年間システム開発の現場で経験した内容や考え方をもとに執筆しています。
セキュリティの技術やサービスは日々変化しており、すべての企業や現在のサービスに当てはまるものでは
ありません。一つの考え方として参考にしていただければ幸いです。