セキュリティの運用とは、異常に気づき、事故のときに判断し、社内外へ連絡するまでの役割を決めておくことです。専任の担当者がいなくても、役割を決めることはできます。製品より先に、ここから始めます。
何から手を付けるか
順番は、役割を決める、1枚にまとめる、記録を残す、外部を決める、練習する、です。
- 判断する人、動く人、連絡する人を決める
- 事故のときの連絡先と判断を1枚に書く
- 何のログを、どれだけ残すかを決める
- 頼れる外部の窓口を、平時のうちに決める
- 年1回、机の上で練習する
- 足りなければ監視を外部に任せる
専任がいなくても、役割は分けられる
IPAの2024年度の実態調査では、約7割の企業が組織的なセキュリティ体制を整えておらず、専門部署があるのは9.3%でした。調査報告書でも、緊急時の体制を実施または一部実施している企業は39.8%に留まっています。
専任を雇えないのは、多くの会社で同じです。JPCERT/CCのCSIRTマテリアルは、CSIRTを「組織内の情報セキュリティ問題を専門に扱う、インシデント対応チーム」と説明しています。小さな会社では、これを次の4者に割り振って考えます。
| 役割 |
担当の例 |
事故のときにやること |
| 判断する人 |
社長 |
止める、公表する、費用を出す |
| 動く人 |
情報システムの兼任者 |
機器の切り離し、記録の保全 |
| 連絡する人 |
総務 |
取引先、社員、関係機関への連絡 |
| 外部の相談先 |
保守会社、専門業者 |
調査、復旧の手伝い |
大事なのは、社長が不在のときの代理まで決めておくことです。深夜に工場から連絡が来たとき、誰が止める判断をするのかが書いてあれば、それだけで動きが変わります。
1枚の紙に書くこと
事故のあとに調べる余裕はありません。パソコンが使えない場面も考えて、紙でも持っておきます。
連絡の1枚に入れるもの
- 社内の連絡先（代理も含む）
- 契約している保守会社、クラウド事業者、保険会社の窓口
- 公的な窓口のURLと連絡先
- 主要な取引先の連絡先と、知らせる基準
- やってはいけないこと（自己判断の削除、初期化など）
公的な窓口は3つ入れておきます。IPAの不正アクセス特別相談窓口は初動の助言と専門業者の案内をしています。JPCERT/CCのインシデント対応依頼と、警察庁が案内する都道府県警察の窓口もあります。
対応の流れを詳しく知りたいときは、JPCERT/CCのインシデントハンドリングマニュアルが使えます。個人データが関わるときの報告は情報漏えい・内部不正に書きました。
ログは、何を残すのか
全部残そうとすると費用も手間も膨らみます。事故のときに「誰が、いつ、どこから入ったか」がわかる範囲から始めます。
- VPNや社外からの接続の記録
- クラウドやメールのログイン記録
- 管理者アカウントの操作の記録
- サーバーとファイアウォールの記録
保存の期間は、気づくまでの時間を考えて決めます。攻撃者は痕跡を消そうとするので、警察庁の報告が示す流れを踏まえると、機器の中だけでなく別の場所にも残しておくと安心です。
ログの保管にはログ管理の製品やクラウドの機能が使えます。集めたログを分析して警告を出すSIEMは強力ですが、見る人がいないと活きません。中小企業の多くは、製品を入れるより監視ごと任せるほうが現実的かもしれません。
監視を外部に任せる範囲
外部に頼むときは、SOCと呼ばれる監視のサービスや、端末の監視を任せるサービスなどがあります。比べるときに確かめたいのは料金より範囲です。
- 通知するだけか、機器の切り離しまでやるのか
- 夜間と休日も見るのか
- 判断を求められる相手は社内の誰か
- 事故のあとの調査は含まれるのか
セキュリティ運用の委託を探すときの手がかりとして、IPAの情報セキュリティサービス基準適合サービスリストには、セキュリティ監視・運用サービスとデジタルフォレンジックサービスの区分があります。IPAがサービスの品質を保証するものではないので、内容は個別に確かめます。
小さな会社なら、サイバーセキュリティお助け隊サービスのように監視と相談をまとめた形もあります。事故のあとの原因調査はフォレンジック調査の専門業者の領域で、平時に候補を決めておくと慌てません。
年1回の机上訓練
訓練といっても、大がかりなものは要りません。「月曜の朝、受注のサーバーが開けず、脅迫文が表示された」という場面を設定し、1時間ほど話し合います。誰に連絡するか、取引先にいつ伝えるか、工場は止めるのか。話してみると、連絡先が古い、代理が決まっていないといった穴が見つかります。
工場を含めた体制は工場・製造業のセキュリティに、全体の順番はセキュリティ対策の全体像にまとめています。
