SCS評価取得に急ぐ企業が見過ごす「運用の脆弱性」とは──今見極めるべき“有事の自走力”

ツールを増やす前にすべき「既存資産と運用の棚卸し」のポイント

　セキュリティ対策を検討する際に明確にすべきなのが、「どの事業リスクを下げ、どの業務や情報資産を守るのか」ということ。課題ごとに新たな製品を追加していくと、管理画面、ログ、ライセンス、運用手順が次々と増え、情シス部門の運用負荷とコストは膨らみつづける。追加投資に踏みきる前に、既存の製品やライセンスをどこまで活用できており、どこに設定や運用上の不足があるのか棚卸しすることが重要といえる。

　吉田氏は、課題ごとにツールを追加することの問題について、「1つの課題に1つの対策を打っていたら、課題が10個あれば10個のツールが必要になり、コストも運用も青天井になってしまいます。1つの対策で複数の課題を同時に解決し、最終的には『新たな対策を追加せずに済む仕組み』を作ることが理想です」と指摘する。ここでいう「新たな対策を追加せずに済む仕組み」とは、課題の原因を見直し、個別ツールの追加や例外対応を繰り返さずに済む運用へ変えることを指す。

　たとえば、Microsoft 365 E5のライセンスを既に保有している企業の場合、含まれる機能を適切に活用できれば、ライセンス費用や複数のツールを管理する運用コストを抑えつつ検知／対応の実効性を高められるだろう。他方、サプライチェーンを構成する取引先に対して対策を求める立場にあるならば、まず自社が対策水準と運用実態を客観的に説明できる状態を整えておく必要がある。その上で、取引先の規模、扱う情報の重要度、業務上の優先順位を踏まえ、対話を通して必要な対策と支援、費用負担のあり方を定めていく。その出発点となるのが、既存製品、ライセンス、運用ルール、社内外の役割分担の棚卸しと、業務に対するカバー範囲の整理である。

「誰が幸せになるのか」を考えて対策せよ

　ここまで論じてきたように、EDRの実効性は製品の導入やSCS評価制度にともなう★の取得だけでは担保できない。自社の端末にどの設定が適用されているのか。発生したアラートを誰が、どの基準で判断するのか。侵害の兆候を検知したとき、隔離や調査、関係部門への連絡をどの手順で進めるのか──こうした運用における判断ポイントを明確にし、必要に応じて外部の専門知見も活用しながら改善を続けることが、EDRを実効的な防御へ変える第一歩となる。

　吉田氏は、EDRにかかわらず新たなセキュリティ対策を考えるときのポイントとして、その対策によって誰の、どの業務を守るのか、またそれをやることで業務がやりやすくなったり、手間や負担が減ったりするのかを改めて問いなおしてみることを提言する。

　同氏が実際に関わった事例として、メールの添付ファイルにパスワードを付与することで生じる運用負担と運用ルールを続けるかという議論を挙げた。この運用単体を見て「手間がかかるからやめよう」と決断することはなかなか難しい。しかし、メールシステム全体のセキュリティ設計を見たときに、添付ファイルへのパスワード付与の有無ではセキュリティレベルが変わらないことがわかり、その運用をやめる決断に至ったのだという。

　「このように、追加することだけがセキュリティではないということを多くの人に知ってほしいです。取引先をはじめとする周囲に変化を求めるには時間もコストもかかります。まずは自分たちの運用を見直し、自分たちで回せるところから改善を始めることが重要です」（吉田氏）