サイバーセキュリティ会社の選び方　相談する前に決めておくことを整理

サイバーセキュリティ会社は、順位ではなく「何を頼むか」⁠で選びます。監査、診断、調査、監視では仕事がまったく違うので、同じ物差しでは比べられません。

今日やることは、相談の前に1枚⁠のメモを作ることです。頼みたい仕事、守る範囲、社内の窓口、予算の幅、事故が起きたときの希望を書きます。埋まらない欄は「未定」⁠のままで構いません。そのメモがあると、相手の提案を自社の条件で見られます。

この記事では、特定の会社の順位付けはしません。全体の基礎はサイバー攻撃の基本と最新動向のカテゴリ⁠にまとめています。

何を頼むのか、どう決めるのか？

IPAの情報セキュリティサービス基準適合サービスリスト⁠の分類が、仕事の種類を整理する手がかりになります。

「受け取るもの」⁠は一般的な例で、中身は会社と契約で変わります。リストには載っていませんが、「何から手を付けるか分からない」段階ならコンサルティングや顧問の形もあります。迷ったら、防ぐ・気づく・戻すの3つの箱⁠で空いている所を先に探すと、頼む種類が絞れます。

比べる段階まで進んだら、セキュリティコンサルティングの比較、セキュリティ運用代行・顧問サービスの比較、脆弱性診断サービスの比較で、担う範囲や価格の出し方を確かめられます。

相談前に自社で決めておくことは何か？

次の6つです。正確でなくても、書いてあると相手の答えが具体的になります。

1つ目は、きっかけです。 取引先から質問票が届いた、社長が不安に感じた、事故が起きた。きっかけによって急ぎ具合と必要な成果物が変わります。取引先の質問票があるなら、そのまま見せられるように用意します。

2つ目は、守る範囲です。拠点の数、パソコンとサーバーの台数、クラウドのサービス、VPN機器、外部とつなぐ経路を書きます。工場の設備を含めるかどうかも決めます。

3つ目は、止まると困る業務です。受注、出荷、設計データなど、止まったときに困る順に並べます。相手はこれをもとに優先を提案できます。

4つ目は、社内の窓口です。結果を受け取る人と、機器を止める判断をする人を分けて書きます。兼任でも構いませんが、夜間の連絡先まで決めます。

5つ目は、予算の幅です。単発か月額か、今年度の上限はいくらかを伝えます。IPAの2024年度の中小企業調査では、過去3期⁠に対策投資をしていない企業が約6割でした。初めての予算なら、初年度に終える範囲を絞って相談します。

6つ目は、社内で続けられることの線引きです。報告書の改善案を実行するのは自社です。更新作業や設定変更を誰がやるかが決まっていないと、診断を受けても直らないまま残ります。

社長の指示として整理したいときは、サイバーセキュリティ経営ガイドラインの重要10項目⁠の表が使えます。

相手に何を質問すれば確かめられるか？

会社の大きさや知名度だけでは、自社に合うかどうかは分かりません。次の質問を、どの会社にも同じ順で聞きます。答えを横に並べると差が見えます。

夜間の質問を入れるのには理由があります。IPAのランサムウェア被害から学ぶ教訓集に、暗号化を検知した通知は出ていたのに、週末の深夜でタイムリーに受け取れなかった例があるからです。検知だけでなく、常時対応できる体制が要ると同資料は述べています。

資格を聞くときの目安としては、国家資格の情報処理安全確保支援士（登録セキスペ）⁠があります。IPAは検索サービスも案内しています。資格の有無だけで力量は決まらないので、自社に近い案件の経験と合わせて聞きます。

公的な手がかりはどう使うのか？

サービスリストは、経済産業省が策定した情報セキュリティサービス基準への適合性を、審査登録機関が審査した結果を載せたものです。候補を探す入口として便利です。

ただし同じページに、掲載はIPAによる保証を意味しないと明記されています。掲載は確かめる材料の1つとして扱い、質問への答えと合わせて判断します。

中小企業で、相談から監視まで1か所にまとめたいなら、サイバーセキュリティお助け隊サービス⁠が候補に入ります。登録の基準は、相談窓口、異常の監視、事案発生時の初動対応、簡易サイバー保険を含むワンパッケージです。自社で使う場合の補助金の支援制度も案内されています。

会社に頼む前に公的な窓口で相談したいときは、IPAの企業組織向けサイバーセキュリティ相談窓口⁠もあります。

製造業で取引先から求められているときは？

たとえば、完成品メーカーから部品メーカーへ質問票が届き、「EDRはありますか」「ログは何か月残していますか」⁠と聞かれている場合です。製品名だけで答えようとせず、質問票そのものをセキュリティ会社に見せて相談します。求められているのが製品なのか、状態なのかで提案が変わるからです。

取引先の要求は、今後SCS評価制度に沿って整理される可能性があります。IPAの案内によると、委託元が委託先に適切な段階（★）⁠を示して実施状況を確かめる使い方を想定しています。経済産業省の案内では、★3と★4は2026年度末頃の申請受付開始を目指すとされています。

相談するときは、★を取る支援ができるかだけでなく、取ったあとも対策を続ける運用まで見てくれるのかを聞きます。2026年9月⁠に始まったお助け隊サービス（新類型）⁠の実証事業のように、制度に関わる支援は動いている途中です。予定は変わることがあるので、最新の案内を確かめて進めます。

工場の設備まで範囲に入れるなら、OT（工場の制御系）⁠の経験を質問に足します。事務所のパソコンと同じ手順で扱ってよいとは限らないからです。稼働を止めずに調べられるか、保守会社とどう連携するかを聞きます。

相談したあと、決めるときに見ることは？

見積もりの金額は、範囲がそろって初めて比べられます。守る範囲、回数、夜間の扱い、初動の有無を表にして、各社の答えを同じ欄に入れます。安く見える見積もりは、含まれない作業がないかを確かめます。

最後は、担当者に説明を求めたときの感触も材料になります。社内の言葉で聞き直しても、ていねいに答えてくれるか。事故の夜に電話する相手になるので、相性も確かめておく価値があります。

感染の疑いが今出ている、という話なら、会社を決める前にマルウェア感染を社内のパソコンで確かめる方法⁠に沿って、状況を整理しておくと相談が早く進みます。