セキュリティ人材が社内にいない会社はどうする？採用せずに回す方法

セキュリティ人材が社内にいない会社は、採用より先に、責任者と兼任の担当者を決め、監視や調査などの作業を外へ出す形で回します。判断は社内に残し、手を動かす部分を外に任せる分け方です。IPAのガイドラインも、最初から専任を求めてはいません。

今日やることは、経営者が2人⁠を指名することです。何かあったときに決める責任者と、社内の窓口になる兼任の担当者です。そのうえで担当者が5分⁠でできる情報セキュリティ自社診断⁠の25項目⁠に答えれば、外に何を頼むかの材料がそろいます。

採用できない会社はどこから始めるのか？

IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版は、改訂の背景の1つに、中小企業の社内で対策を進める人材の著しい不足を挙げています。付録として人材の確保・育成の実践ガイドブック⁠が加わりました。そこでは人の置き方を4段階に分けています。

採用の話が出てくるのは、後の段階です。「人が採れないから何もできない」⁠と考える必要はありません。

担当者は誰にするのか

同じガイドブックは、知見のある従業員がいなくても、関連業務の経験者に兼務させる配置転換を挙げています。例は、災害対策を担う部署、IT部門、監督者、パソコンの導入担当です。希望者の社内公募も載っています。製造業なら、工場の設備保全や安全管理の経験者も、災害対策に近い視点を持っています。

任命するときは、週に何時間使ってよいかを経営者が決めて、本人の上司にも伝えます。本業の余った時間でと頼むと、忙しい月に止まります。

社内に残す役割と外に出す役割は何か？

人が足りない会社ほど、この線引きを先に決めます。次の表は、IPAの資料を踏まえて私たちが整理したものです。

この線引きを裏づける例が、ガイドブックにあります。50名規模の情報通信業の事例は、意思決定や社内調整は社内の人材で行う必要があると考えました。地方であることや給与の体系から採用は難しく、在籍する従業員を育成し、検知は外部に委託しています。

反対の例も載っています。責任者を置かず、VPN機器の保守の契約も取りやめていた結果、ランサムウェアに対処できず被害が広がり、被害額が計1億2,400万円⁠になった事例です。人にかけるお金を減らすと、指揮する人と手を動かす人の両方が同時にいなくなることがあります。

外部の窓口はどの順番で使うのか？

負担の軽いものから足していきます。

1. 最初に聞ける窓口

IPAの企業組織向けサイバーセキュリティ相談窓口は、インシデントの初動の相談に助言し、専門業者の一覧も案内しています。ガイドブックは、取引のあるITベンダーや商工会議所などの支援機関への相談も挙げています。

相談では、業種と規模、実施中の対策を簡単に伝えると、具体的な答えをもらいやすくなります。「データの漏えいが心配」のような身近な不安から切り出してかまいません。

2. お助け隊サービス

IPAの基準で定められた、中小企業向けの一式です。IPAによると⁠、累計の導入は約1万900社です（2026年3月末時点）⁠。基準では、次のものを原則1つ⁠の契約で提供します。

• 相談窓口
• 24時間⁠の異常の監視。重大なものは60分以内⁠を目標に通知
• 駆け付けの支援。年1回以上⁠は費用の負担なし（諸経費は別）
• 簡易サイバー保険

価格の上限は、ネットワーク監視で月1万円⁠、端末監視で1台月2,000円です（いずれも税抜き）⁠。初期費用はネットワーク監視、端末監視とも50万円⁠が上限で、最低契約期間は2年以内です。

ただし、これで体制づくりまで終わるわけではありません。IPAは、現行のサービスを導入しても、SCS評価制度⁠の★3の要求事項は一部しか満たせないとしています。取引先から★3を求められそうな会社は、方針づくりなどの組織的な対策を別に進めます。★3は26件⁠の要求項目で有効期間は1年⁠、受付は2027年3月⁠に始まる計画です。

IPAは、組織的な対策まで支援するお助け隊サービスの新類型⁠も実証しており、2027年度末までの制度化を目指しています。

3. 顧問と運用代行

規程づくりや取引先への回答まで手伝ってほしいなら、セキュリティ運用代行・顧問サービスの比較を見ます。ISMSの取得や社内ルールの整備、CSIRTの構築を頼みたいなら、セキュリティコンサルの比較が近い内容です。

個人の専門家を探す場合は、IPAの支援者リストの取り組み⁠を確かめます。国家資格の情報処理安全確保支援士を、中小企業の外部人材として活かす事業です。

4. 24時間⁠の監視を厚くする

EDRをすでに使っていて、警告を読む人がいない場合は、MDR・SOC監視サービスの比較を確かめます。任せる範囲は監視と一次の判断までとし、止める権限をどこまで渡すかは契約の前に話し合います。

製造業ではどんな形があるか？

IPAのガイドブックには、従業員10名⁠の金属加工業の事例があります。総務と兼務の担当者では対応が難しく、補助金でつながりのあった自治体の経営支援課と地域の産業振興機構に相談しました。そこで紹介された専門家の助言で、社長と担当者が情報セキュリティマネジメント試験を取得しています。

この事例で注目したいのは、目的が専門家になることではなく、ベンダーと最低限の会話ができるようになることだった点です。取得前は提案を理解しきれないまま採用していたのが、取得後は内容を理解して選べるようになったとされています。

外注が中心の会社でも、発注する側に最低限の知識は要ります。ガイドブックの段階に沿えば、ITパスポートから情報セキュリティマネジメント試験へ進む道筋です。

外注の前に何を確かめるのか？

契約の前に、委託先へ次の質問をします。答えが書面で返ってくれば、比べやすくなります。

• 夜間に重大な通知を出すとき、誰の電話にかけるのか
• 社内の担当者が出ないとき、どこまで止めてよいのか
• 駆け付けの回数と、追加の費用はいくらか
• 契約が終わるとき、ログや記録はどうなるのか
• 保険でまかなえない費用は何か

連絡の順番は、契約とは別に社内で1枚⁠にしておきます。作り方はインシデント対応フローの作り方⁠に書きました。監視の道具を自社で持つか迷っているなら、無料と有料の監視ツールの手間の違い⁠が判断材料になります。運用全体の話はセキュリティの運用と体制⁠にまとめました。

人を採れない会社に必要なのは、詳しい人を探すことより、決める人を決めることです。そこから先は、足りない分を外から借りられます。