サイバーセキュリティは、企業のデータやシステムをサイバー上の脅威から守り、被害が起きたときの対応と復旧まで備える取り組みです。担当者が最初に整理したいのは、製品名よりも「何を守るか」「失うとどの業務が困るか」「誰が判断するか」です。
本記事では、端末、社内ネットワーク、業務システム、クラウドサービス、委託先との接点を含め、企業全体の対策を検討する順番を示します。以下の棚卸し表や進め方は、担当者同士の相談に使うための整理例です。
サイバーセキュリティは予防から復旧までを含む
NISTのCybersecurity Framework（CSF）2.0は、サイバーセキュリティを「統治・識別・防御・検知・対応・復旧」の6機能で整理しています。企業規模にかかわらず、リスクの把握や優先順位付け、関係者との共有に使う枠組みであり、特定の製品や実装方法を一律に指定するものではありません。出典：NIST CSF 2.0、概要・第2章
この枠組みを自社の会話に置き換えるなら、「攻撃を防ぐ設定はあるか」に加えて、「異常を誰が見るか」「業務を止める判断を誰がするか」「どう復旧するか」も確認事項になります。
たとえば、バックアップを担当する人と、復旧したデータで業務を再開してよいか判断する人を、同じ人と決めつけずに整理します。技術担当だけで答えが出ない項目は、業務責任者や経営層にも確認しましょう。
守る資産を業務と結び付けて棚卸しする
まず、重要な業務を一つ選び、その業務に必要なデータ、機器、サービス、接続先を書き出す方法を勧めます。次の表は記入例であり、実在企業の被害事例ではありません。
| 資産・接点 | 想定する困りごと | 担当者に確かめること |
|---|---|---|
| 顧客情報・契約データ | 外部流出、誤った内容への変更、消失 | 保存場所、閲覧・更新権限、復旧に使えるデータ |
| 業務用PC・スマートフォン | 利用者になりすました操作、端末が使えない状態 | 管理対象、更新状況、紛失や異常時の連絡先 |
| 社内サーバー・ネットワーク機器 | 業務停止、不要な外部接続 | 管理者、保守契約、設定を変更する担当 |
| メール・SaaSのアカウント | 不正ログイン、退職者のアクセス残存 | 認証方式、権限、削除・停止の手順 |
| 委託先との接続・データ受け渡し | 委託終了後のアクセス残存、連絡の遅れ | 利用範囲、終了時の処理、事故時の窓口 |
台帳には、資産名だけでなく「使う業務」「責任者」「管理担当」「確認日」を設けると、次の確認を依頼できます。存在は分かっていても管理者が不明なサービスは、「対策済み」にせず未確認として残してください。
リスクと対策を対応させる
IPAの「5分でできる！情報セキュリティ自社診断」は、ソフトウェアの更新、認証、共有設定、バックアップ、従業員教育、外部サービス、事故時の準備などを点検対象にしています。端末への対策と組織のルールを一緒に確認する入口になります。出典：IPA 自社診断、診断編・対策例
以下は、その観点を使った確認順の提案です。
侵入や不正利用への備え
利用中の機器・ソフトウェアについて、更新担当と現在の状態を確認します。アカウントは、重要なシステムで認証を強化できるか、不要になった利用者の権限が残っていないかを調べましょう。IPAも、重要なシステム等で利用可能な認証強化機能を使うことや、異動・退職時の共有設定変更を対策例に挙げています。出典：IPA 自社診断、対策例No.1・3・4
設定変更を依頼するときは、対象、実施担当、実施日、業務への影響を一緒に記録します。「全社で対応した」とまとめる前に、対象外の端末やサービスも書き出してください。
情報の流出や消失への備え
データごとに、必要な利用者と実際の共有範囲を照らし合わせます。バックアップは取得状況に加え、業務側が必要とする時点のデータを戻せるか、検証環境で確認する計画を作ることを勧めます。
IPAのガイドライン第4.0版では、初めに取り組む「情報セキュリティ6か条」にバックアップが追加されています。予防策を点検する際にも、データを失った後の備えを外さないようにしましょう。出典：IPA ガイドラインの概要
クラウド内の権限や公開設定を詳しく点検する場合は、クラウドのセキュリティ対策で、脅威と設定・記録の対応を確認できます。
優先順位は業務への影響と現在の状態で決める
対策案が多いときは、次の4点を並べて責任者と相談する方法を勧めます。
- 対象の業務が止まった場合、誰にどのような影響が出るか。
- 外部公開や広いアクセス権など、現在どのような状態にあるか。
- 既存の対策について、実施した記録や確認結果があるか。
- 対応時に業務へ影響が出るか、担当者と実施時期を決められるか。
たとえば「重要データの共有範囲を確認する」と「使われていない端末の扱いを決める」を、同じ緊急度にする必要はありません。一方、名前だけで前者を最優先と断定することも避け、実際の公開状態や扱う情報を確認します。
管理表には、課題、対象、対応理由、担当、期限、確認方法を一行ずつ記載します。未確認の項目には調査の期限を付け、対策が不要と判断した項目にも理由を残しましょう。
異常を見つけた後の連絡と復旧も決めておく
IPAの自社診断は、事故に備えた緊急時の体制や対応手順も点検対象としています。出典：IPA 自社診断、No.24
社内で確認するための問いとして、次の項目を用意します。
- 不審なメールや操作、利用できないシステムを見つけた人は、どこへ連絡するか。
- メールが使えない場合、別の連絡手段を利用できるか。
- アカウントや機器の停止、業務の中断は誰が判断するか。
- 外部の保守・委託先へ、誰が状況確認を依頼するか。
- 復旧後にデータと業務の動作を確認し、再開を判断するのは誰か。
これは事故発生時の一律の操作手順ではなく、平時に役割の空白を見つけるための問いです。疑わしい事象が起きた場合の具体的な操作は、組織の対応手順と専門担当の判断に従ってください。
最初の点検では、重要な業務を一つ選び、資産の一覧と連絡先をそろえ、未確認事項を担当者へ割り当てましょう。その結果を使って、予防・検知・対応・復旧のどこから改善するかを決めます。