セキュリティ体制の構築
Security
求められる水準は上がるのに、社内に詳しい人がいない。その最初の一歩からご一緒します。
セキュリティのご相談は、何かが起きてから始まるとは限りません。同じ業界での被害、取引先の広がり、組織の拡大。そろそろ整えなければ、という場面でお声がけをいただきます。
このページでは、そこから体制を立ち上げるまでに何が必要で、どこまでを一緒に走り、どこから貴社が自分たちで回していけるようになるのかを整理しました。
こんな状態でご相談をいただきますSymptoms
どれかひとつでも当てはまれば、お話しする価値はあると思います。
担当は決まっているが、専門ではない
情シスや総務、あるいは経営陣が、専任がいないからと兼務で引き受けている。責任は引き受けているのに、何が正しいのかを判断する拠りどころがないまま時間が過ぎている。
取引先から求められて、答えられない
数十項目のチェックシートが届く。「規程はありますか」「体制図はありますか」と聞かれても、実態としてないものは書きようがない。取引に関わるので放置もできない。
起きたときの手順がない
不審なメール、アカウントの乗っ取り、情報の持ち出し。起きてから慌てて動くことになるのが目に見えている。
診断結果を、捌ききれない
脆弱性診断を受けたが、指摘が数十件並んでいる。すべてに対応する余力はなく、どれが危険でどれが後回しでよいのかも分からない。
規程はあるが、誰も見ていない
過去に作った情報セキュリティ規程が、実態と合っていない。形だけあるが機能していないので、監査のたびに指摘される。
クラウドの設定が正しいのか分からない
権限が広すぎないか、公開してはいけないものが公開されていないか。確認する方法も、確認すべき観点も社内にない。
ご一緒したあと、どう変わっていくかFlow
一度で整うものではありません。現在地から、月を追ってどう積み上がっていくかをお示しします。
-
Now
現在地
- 何を守るべきかが決まっていない
- 求められても答えられない
- いざというときに動きようがない
-
Month 1
1ヶ月
- 今どういう体制で、実際にどう運用されているかが見える
- どこに何の情報があり、どれが漏れると事業が止まるかが特定される
- 求められている水準とのギャップが、着手の重さとともに一覧になる
-
Month 3
3ヶ月
- チェックシートに、根拠を持って回答できる
- 何かあったときに、誰に連絡し誰が決めるかが定まる
- 規程が、現場が守れる内容に書き換わる
-
Month 6
半年
- 棚卸し、権限の見直し、教育が年間の予定に組み込まれる
- 担当の方が変わっても、同じ水準で回り続ける
- 新しい要求が来ても、自分たちで判断できる
期間はひとつの目安です。取引先への回答期日など動かせない期限がある場合は、そこから逆算して進め方を組み替えます。あわせて、貴社の中でこの取り組みにどれだけ時間を割けるかによっても変わります。当社がお出ししたものを社内で検討し、決めて、動かしていただく。その往復の速さが、そのまま全体の速さになります。
役割分担Roles
どこまでを当社が引き受け、どこを貴社の中に残すか。この線引きは、貴社が自分たちで回せる状態に近づくための設計でもあります。
貴社にやっていただくこと
-
何を、どこまで守るかの意思決定
守り方には緩急が要ります。どの情報が最も重要で、どこまでのリスクなら受け入れられるか。これは投資であり事業判断でもあるため、ここでの意思決定は貴社が担います。当社は判断材料と、業界や取引の形に照らして他社がどこに線を引いているかをお出しします。意思決定が当社に寄ると、その基準は現場に根づかず、監査のたびに作り直すことになります。
-
決める方と、社内をつなぐ方
兼務で構いませんが、決める立場の方がひとり必要です。セキュリティは各部門にまたがるため、決める方がいないと必ず止まります。あわせて、部門をまたいで話を通せる方がいると進みが変わります。決めたことを現場まで届けるのは、この役回りだからです。実際に動く立場の方にも入っていただけると、さらに早くなります。
-
実態を見せていただくこと
規程や構成図といった資料に加えて、実際にどう運用されているかを見せていただきます。書かれていることと現場の実態がずれているのは、珍しいことではありません。そこが見えないままだと、守れないルールをもう一枚重ねることになります。言いにくいことや、わざわざ伝えるほどでもないと思っていることほど大事です。秘密保持契約は業務委託契約とあわせて締結しますので、社外の相手だからと線を引かず、ありのままをお話しください。
-
決めたあとに、社内で動かすこと
設定の変更、権限の整理、周知と教育。手を動かす部分は、貴社の側で進めていただきます。ルールは、日々運用する人の手に渡ってはじめて機能します。何をすべきかは当社が整理し、できているかどうかは一緒に確認していきます。説明資料の作成や、説明の場への同席もご支援できます。
当社が担うこと
-
まず、理解することから
いきなり対策の話はしません。どんな事業で、何を扱っていて、どこまでの手間なら現場が受け入れられるのか。そこを分からないまま持ち込んだ正論は、守られないまま形だけ残るからです。
-
守るべきものを特定し、ギャップを見立てる
どこに何の情報があり、どれが失われると事業が止まるのかを洗い出します。そのうえで、求められている水準と現状のギャップを、対応の重さとともに一覧にします。すべてを直すのではなく、直す順番を決めるのが実務です。
-
その組織で回る体制を設計する
誰が何を担い、どう連携するか。大企業の体制図を縮小するのではなく、専任者を置けない前提でも回る形をつくります。ゼロから立ち上げて、社外とやり取りできる状態まで持っていったこともあります。
-
守れる規程に書き換える
ひな型をそのままお渡しすることはしません。貴社の業務と規模に合わせて、現場が守れる内容に調整します。守れないルールは、守られないまま形だけ残ってしまいます。
-
求められたときに、答えられるようにする
チェックシートの質問の意図を読み解き、事実に基づいた回答を組み立てます。項目としては「なし」でも、別の手段で同じ目的を満たしていればそう説明できますし、いつまでに対応するかを添えるだけで受け入れられる項目もあります。どこをどう補えば通るのかを見極めます。診断結果についても、危険度と対応コストで仕分けし、着手する順番をお出しします。
-
起きたときの初動を用意する
連絡経路、判断の基準、対外的な説明の準備。ここが決まっているかどうかで、事故の被害は大きく変わります。机上での訓練までご一緒できます。
-
定期的な打ち合わせと、随時の相談
定期的な打ち合わせに加えて、Slackでいつでもご相談いただけます。このツールに情報を預けてよいか、この指摘は今すぐ直すべきか、この要求はどこまで応じるべきか。経営や取引先から来る話は、期限に余裕がないことが少なくありません。次の打ち合わせを待たずに聞ける相手がいることが、実務では効きます。頻度も、お使いのツールも、貴社に合わせて決めます。
伴走する立場として、あえて担わないこと
できないから、ではありません。詰まりを解くために外へ頼んだのに、当社が実務まで抱えれば、今度は当社が新しい詰まりになります。加えて、診断や監視のように専門の事業者が揃っている領域は、そちらに任せたほうが同じ費用でも得られるものが多くなります。そして日々の運用を自分たちで回した経験だけが、次に何かあったときに効きます。
- 脆弱性診断やペネトレーションテストの実施。専門の検査事業者が担う領域です。どの事業者に、どの範囲を、どの程度の費用で依頼すべきかの選定はご支援します。
- 24時間の監視。常時の監視が必要な場合は、専門のサービス導入を検討することになります。必要性の判断とサービス選定をご一緒します。
- 事故が起きた際の一次対応。実際の初動は貴社と、必要に応じて専門の対応事業者が担います。当社は判断の相談相手として関わります。
範囲と体制を組めばお引き受けできる場合もありますが、その際は継続的な支援とは別にプロジェクト単位のご契約として設計します。どの事業者に頼めばよいか分からない、という段階からのご相談にも対応します。
進め方の目安Process
| 時期 | やること |
|---|---|
| 初回相談 | オンラインで60分ほど。何を求められているのか、期限があるかをうかがいます。無料です。 |
| 契約後 1〜2週 | 資料の確認、関係する方へのヒアリング、運用の実態の把握。 |
| 1ヶ月目 | 守るべきものの整理、現状との差の一覧、着手する順番を合意します。 |
| 2〜3ヶ月目 | 体制の設計、規程の整備、初動の手順づくり。 |
| 4ヶ月目以降 | 運用に乗せ、定期的な見直しへ移していきます。 |
契約形態は業務委託（準委任）です。成果物を約束する請負ではなく、専門性を継続的に提供する形になります。
このサービスについて、よくいただく質問FAQ
- 社員が数十名の規模ですが、体制と言えるものが作れますか。
- 作れます。体制とは人数のことではなく、誰が決めて、何かあったときにどう動くかが定まっていることです。人数が少なければ、決めたことが行き渡るまでも早くなります。大企業の体制図を縮小するのではなく、その組織で回るものを設計します。
- 取引先への回答期日が迫っています。
- 期日から逆算して進め方を組み替えます。すべてを整えてから答えるのではなく、事実として書けることと、対応中として書けることを切り分けるのが現実的です。期日が迫っている段階でも、まずはご相談ください。
- 認証（ISMS・Pマーク）の取得も相談できますか。
- 取得そのものは審査機関とのやり取りが必要になるため、専門のコンサルティング会社と組む形が一般的です。そもそも取得すべきかどうかの判断と、準備段階の整理はご一緒できます。
- すでに事故が起きています。
- まず専門の対応事業者へのご連絡を優先してください。当社は、事後の体制の立て直しや再発防止の設計からご一緒できます。どこに連絡すべきか分からない場合は、その相談にも対応します。
- 契約後に合わないと感じたら。
- 月単位のご契約です。区切りのタイミングでご相談いただければ、調整のうえで支援を一時休止もできます。合わないまま続けていただく必要はありません。状況が変わったときに、あらためて再開することもできます。
初回のご相談は無料です。オンラインで60分ほど。その場での売り込みはしません。急ぎの回答期日がある場合は、その旨をお知らせください。
まずは無料で相談する