2016年はSecurity as a Serviceを活用する
クラウドサービスはコストダウンだけが目的とはならず、特に中小企業はセキュリティに必要な情報を得られれるようになります。
スパムメールの項目でも触れましたが、セキュリティの運用には非常に多くの情報が必要です。しかしながら、企業規模が小さなところでは事故が発生するまで情報を得ることができないことが多いのです。
そうであれば、自らも情報を提供しつつ、他社の情報をもらうというような仕組みに参加することが必須になります。大企業では社内の情報を集約するためにCSIRTなどが結成されようとしていますが、中小企業ではそれもままならないのが現状です。情報収集のための仕組みとして、クラウドサービスを利用するというのは非常に有効です。
図1: クラウドサービス利用によるセキュリティ情報の提供と入手
また、バックアップデータをクラウド上に保管するというのも資産管理を楽にするための一つの方法です。Google DriveやOneDrive for Businessのように管理者アカウントが設定できるようなストレージサービスを使っていれば、情報管理の一元化が可能になります。クラウドで適切に管理され、事故に早急に気がつく仕組みを構築することで、万が一の事故の被害を極小化することができるだけではなく、事故の原因究明にも役立ちます。
前述した事故のほとんどが犯人も捕まらず、本当の原因がわからないものばかりです。原因がわからなければ再発防止はできませんし、犯人が捕まらなければ攻撃は終わりません。泣き寝入りをしないためにも関連するシステム情報をとっておくことが重要です。特に一度の被害で会社を潰してしまうような規模の中小企業であればなおさらです。
多くの情報を得て、適切な対応をとるためにも、スパム対策サービスやアンチマルウェアサービス、ログ管理サービスなどのセキュリティに関するさまざまなサービスをクラウドに移行する必要が出てくるのではないでしょうか。
中小企業にもガバナンスが求められる
2015年12月に経済産業省が発行した「サイバーセキュリティ経営ガイドライン」（PDF）では、中小企業は対象ではないようなことが書かれていましたが、関連するガイドラインがこれから出てくるようです。
経営者がセキュリティに関心を持ち、適切なリソースを確保しつつ、セキュリティを維持していくことが求められるようになりました。
中小企業でも企業内のシステムやルールなどの状況を把握し、適切な対応するためにIT基盤の再構築が求められています。本件に関する解説は次回にさせていただきます。
- 河野省二
- 株式会社ディアイティ セキュリティサービス事業部 副事業部長 経済産業省 SaaS 利用者の観点からのセキュリティ要件検討会委員、情報セキュリティガバナンス委員会 ベンチマークWG委員など、 情報セキュリティ関連のさまざまな基準を策定した経験を持つ。
