本連載は、企業を取り巻くサイバーセキュリティに関するさまざまな問題について、ビジネスの視点から考える上でのヒントを提供する。
ランサムウェアの被害に遭う中で運用・保守の責任範囲のあいまいさが問題になったり、流行り言葉に便乗した新しいツールの導入ありきの販促活動が行われたりするなど、製品・サービスの開発元からシステムインテグレーター（SIer）、販売会社に至るベンダーの在り方や活用の仕方がセキュリティの領域で問われる機会が増えている。そこで今回は、ユーザー企業が自組織のこれからのセキュリティを考える上で、ベンダーをどのような観点で評価するべきか、ベンダーとどのように付き合っていくべきかを考えてみたい。
あいまいなユーザーとベンダーの責任分界点
大阪急性期・総合医療センターで2022年10月に発生したセキュリティインシデントに関する調査報告書が公開された。ここでは運用・保守におけるユーザーとベンダーの責任分界点や、役割分担が契約段階からあいまいだったことが問題点の1つとして挙げられている。2021年に発生した徳島県つるぎ町立半田病院でのセキュリティインシデントでも同様に、ユーザー責任はもちろんだが、運用・保守業者の責任範囲の問題も調査報告書で指摘されている。国内ではセキュリティの領域はもちろんIT全般での慢性的な人材不足から、運用・保守や監視をマネージドサービス事業者（MSP）に委託することが広く一般的となっている。しかしながら、特にユーザー側の視点に立った時に、委託元と委託先の責任範囲や役割分担が明確になっているケースがどれだけあるだろうか。
システムが、自組織の業務で活用する、あるいは顧客や社会にサービスを提供するものである以上、その安全性の確保はユーザー側の責任だが、ITやセキュリティに関する専門知識がユーザー側になければ、医療系や制御系のシステムやサービスの導入に当たってセキュリティの必要性を判断したり、体制を含めた具体策を自ら整備したりすることは難しくなる。
逆に、ベンダーの側に担当事業部門とセキュリティ事業部門の社内連携や、他ベンダーとのようなエコシステムの中での連携がないことで、セキュリティに関する提言や提案が行われず、ユーザー側での業務システムが運用に入ることも多々ある。ユーザーが自前で対策ができなければ、危険度や緊急度が高いリスクが残存し、結果として重大な事故につながる可能性が高くなる。
近年は、委託先や取引先といったサプライチェーンに起因したセキュリティインシデントが問題になっており、脆弱性のようなソフトウェアサプライチェーンリスクの問題も顕著になっている。緊急度や危険度の高い脆弱性の場合には、ベンダーだけでなく業界団体や、場合によってはメディアからも注意喚起される機会が増えている。
ユーザーが自身で速やかに修正プログラムを適用できることが理想ではあるが、ベンダーの運用・保守契約の範囲内であれば、適用の頻度や対応スピードなど具体的な要件が明確になっている必要がある。実際問題、運用・保守契約の中でその役割がどちらにあるか、そして、要件がどうなっているかをユーザー自身が把握していないケースも多いのではないだろうか。
