サイバー攻撃の高度化に伴い、企業にはさまざまなセキュリティ対策が求められるようになりました。EDRや多要素認証（MFA）、メールセキュリティなど、新たな製品やサービスが次々と登場し、「自社にも導入が必要ではないか」と考える場面も増えています。
一方で、「対策を増やしているのに不安がなくならない」「セキュリティ製品は増えたものの、十分に運用できているのか自信がない」と、限られた予算の中で、何を優先して導入すべきか、判断に悩む企業も少なくありません。
セキュリティ対策は、新たな脅威が現れるたびに追加していくやり方で、本当に企業全体のリスク低減につながるのでしょうか。今回は、セキュリティ投資で見落とされがちな「運用」の視点に着目し、長期的なリスク低減につなげるために、どのような考え方で投資を判断すべきかを整理します。
＜3文でわかる！この記事のポイント＞
サイバー攻撃への対策として製品やサービスを追加するだけでは、企業全体のリスクを継続的に低減するには十分とはいえません。重要なのは、導入時のコストだけでなく、その後も継続して運用できるかまで見据えて投資を判断することです。無理なく運用を続けられる仕組みを備えているかという視点が、長期的なリスク低減につながります。
サイバー攻撃の高度化・多様化に伴い、企業が備えるべきセキュリティリスクは広がっています。ランサムウェアや標的型攻撃、不正アクセス、情報漏えいといったリスクの種類が増えれば、それぞれに応じた対策も必要になり、EDR（端末を常時監視し、不審な挙動を検知・対応するセキュリティ対策）や多要素認証、メールセキュリティ、バックアップなどに対応する製品やサービスの導入を検討する機会も増えます。
それぞれの製品には明確な役割があり、企業の安全性を高めるうえで重要な機能を担っています。そのため、「自社にも導入が必要だ」と判断すること自体は、決して間違いではありません。
では、なぜセキュリティ投資は「製品を増やす」という発想になりやすいのでしょうか。その背景には、セキュリティ対策が「リスクへの対応」という考え方を基本としていることがあります。
例えば、ランサムウェアへの対策が課題になれば、バックアップやEDRが候補に挙がります。不正ログインであれば多要素認証やID管理の強化、標的型メール攻撃であればメールセキュリティ製品といったように、リスクによって必要な対策は異なります。
こうして考えると、新たなリスクが認識されるたびに、それに対応する製品やサービスを追加していくのは、ごく自然な流れといえます。
本来、セキュリティ投資の目的は、企業全体のリスクを継続的に低減することです。それぞれの対策は、個別には合理的に映りますが、企業全体ではセキュリティ投資が「リスクへの個別対応」の積み重ねになってしまう可能性があるのです。目の前のリスクへの対応を優先しすぎると、「企業全体として、どのような状態を目指すのか」という視点が後回しになってしまうことも少なくありません。
もちろん、多層的な防御はセキュリティ対策の基本的な考え方であり、複数の対策を組み合わせること自体に問題があるわけではありません。大切なのは、「新たなリスクが現れたら、新たな製品を追加する」という判断を繰り返すだけで、本当に企業全体のリスク低減につながるのかを見極めることです。セキュリティ投資を考える際には、個々のリスクへの対応だけでなく、管理部門や情報システム部門、セキュリティ予算を決定する経営層も含め、企業全体を俯瞰して投資のあり方を考える必要があります。
セキュリティリスクが高まる今だからこそ、「どの製品を導入するか」だけではなく、「企業全体のリスクを継続的に低減するために何へ投資すべきか」という視点から、セキュリティ投資を捉え直す必要があります。では、必要な製品やサービスを導入していけば、企業全体のセキュリティは着実に向上していくのでしょうか。
新たなリスクに対して適切な対策を講じることは、もちろん必要です。しかし、多くのセキュリティ対策は、導入後も継続的な管理や見直しが必要になるため、企業全体のリスクを低減するという視点で考えると、製品を導入するだけでは十分とはいえません。
例えば、多要素認証（MFA）を導入しても、新しく入社した社員のアカウントに適切な設定がされていなければ、十分な効果は期待できません。異動や退職があれば権限を見直し、新しいシステムを導入すれば認証方法との整合性を確認する必要もあります。EDRも、導入後は検知したアラートの確認や対応、ソフトウェアの更新、設定内容の見直し等が必要になります。
メールセキュリティやバックアップについても、一度設定すれば終わりではなく、運用状況を確認しながら適切な状態を維持していかなければなりません。
また、企業を取り巻く環境も変化し続けます。組織変更や人事異動、新たなシステムの導入、働き方の変化などに合わせて、セキュリティ対策も見直していく必要があります。
このように考えると、セキュリティ対策では「導入すること」だけでなく、導入した対策を「適切な状態で維持し続けること」まで考えることが大切です。
セキュリティ投資を考えるうえでは、導入時にかかる費用だけでなく、その後の運用まで含めて判断する必要があります。
どれほど優れた製品やサービスでも、導入後の管理に多くの手間や時間がかかれば、それだけ運用コストは積み重なっていきます。また、運用を特定の担当者の知識や経験に頼っていれば、担当者の異動や退職によって引き継ぎが難しくなったり、新たな人材の確保や教育が必要になったりする可能性もあります。
反対に、必要な作業が標準化され、担当者が変わっても引き継ぎやすく、日々の業務に過度な負担をかけずに運用できれば、継続的なセキュリティ対策に伴う負担を抑えやすくなります。さらに、組織や業務の変化にも対応しながら、適切な状態を維持しやすくなります。
つまり、セキュリティ投資では「いくらで導入できるか」だけを見るのではなく、導入後にどのような運用が必要になり、それを無理なく継続できるかまで含めて考える必要があります。
企業のセキュリティは、一度の導入で完成するものではありません。どれほど優れた製品やサービスを導入しても、運用を継続できなければ、本来期待した効果を十分に発揮することは難しくなります。だからこそ、セキュリティ投資では、製品そのものだけでなく、導入後の運用にかかる負担やコスト、「継続して運用できる仕組み」になっているかも含めて見極める必要があるのです。
どれほど高度なセキュリティ対策であっても、一度導入しただけで安全性を維持できるわけではありません。導入後の運用まで含めて投資を考えるのであれば、「継続して運用できる仕組みになっているか」を見極める必要があります。
こうした投資判断に関わる考え方の一つに、「総保有コスト」（TCO：Total Cost of Ownership）があります。
TCOとは、導入時にかかる費用だけでなく、その後の運用や保守などにかかる費用も含めて、総合的にコストを捉える考え方です。セキュリティ投資においても、導入コストだけで判断するのではなく、導入後にどのような運用が必要になり、それを継続できるかまで見据えることが大切です。
では、「継続して運用できる仕組みかどうか」は、何を基準に判断すればよいのでしょうか。
ここまで見てきたように、継続的な運用を考える際には、日々の運用負担だけでなく、「担当者が変わっても運用品質を維持できるか」「事業やセキュリティ環境の変化に対応できるか」まで考える必要があります。そこで、これらを「本来の業務を圧迫せずに運用できるか」「組織として一貫した運用ができるか」「環境の変化に合わせて安全性を維持できるか」という3つの視点に整理して考えていきます。
セキュリティ対策には、利用者の追加や削除に伴うアカウント管理、権限設定の変更、ソフトウェアの更新、ログの確認、アラートへの対応など、導入後もさまざまな運用が発生します。新しいシステムの導入や設定変更があれば、その都度セキュリティ設定を見直すことも必要になります。
こうした業務は、一つひとつを見れば決して大きな負担ではないかもしれません。しかし、導入する製品やサービスが増えるほど管理対象も増え、担当者が対応しなければならない作業は積み重なっていきます。
本来の業務と並行してセキュリティ運用を担っている場合、その負担が大きくなれば、本来取り組むべき業務を圧迫するだけでなく、セキュリティ上必要な確認や見直しまで後回しになってしまう可能性があります。
もちろん、セキュリティ対策を導入すれば、一定の運用負荷が発生することは避けられません。だからこそ、「運用負荷が増えるかどうか」ではなく、「本来の業務を圧迫することなく、必要なセキュリティ運用ができるか」という視点が欠かせないのです。
企業では、人事異動や組織変更によって担当者が変わることは珍しくありません。
担当者が長年の経験をもとに運用していても、そのノウハウが個人の中だけに蓄積されていれば、異動や退職をきっかけに運用品質が低下する可能性があります。
例えば、「この設定は毎月確認する」「このアラートにはこう対応する」といった運用ルールが担当者個人の経験や判断に依存している場合、新しい担当者が同じ品質で運用することは難しくなります。
セキュリティ対策は、担当者が変わるたびに運用方法や判断基準が変わってしまう状態では、安定した運用が難しくなります。重要なのは、特定の担当者だけが対応できる状態にするのではなく、誰が担当しても一定のルールや品質を保てるよう、組織として運用できる仕組みを整えることです。
個人の経験や判断だけに頼らず、組織として一貫したセキュリティ運用ができるかどうかも、投資を判断するうえで確認しておきたいポイントです。
企業を取り巻く環境は常に変化しています。事業の拡大による利用者の増加、新しいシステムの導入、働き方の変化、法令やガイドラインへの対応など、セキュリティ対策に影響を与える要因は少なくありません。
また、企業側の環境だけでなく、セキュリティ上の脅威も変化し続けます。新たな攻撃手法や脆弱性が現れれば、それに応じて対策を見直す必要があります。
こうした変化が起こるたびに大規模な設定変更や追加作業が必要になり、多くの運用工数が発生するようでは、安全性を維持していくことが難しくなる可能性があります。
セキュリティ投資では、導入時点の課題を解決できるかだけでなく、数年先の運用まで見据えることが必要です。現在の業務規模では問題がなくても、利用者やシステムが増えたとき、新たな脅威が生じたときにも、適切な対応ができるかを考えなければなりません。
「企業を取り巻く環境やセキュリティリスクが変化しても、それに合わせて対策を見直し、安全性を維持できるか」という視点も、セキュリティ投資を判断する基準の一つになります。
セキュリティ投資というと、EDRや多要素認証、メールセキュリティといった新たな製品やサービスを導入することに目が向きがちです。しかし、企業の安全性を支えているのは、こうした個別の対策だけではなく、OSやミドルウェアの更新、脆弱性への対応、サーバーの監視、認証基盤の維持、バックアップ等、継続的な運用も欠かせません。
これらをすべて自社で管理する場合、担当者が対応すべき業務が増え、本来の業務を圧迫する可能性があります。また、運用が特定の担当者に集中すれば属人化しやすく、利用者の増加やシステム構成の変更といった企業を取り巻く環境が変化した際にも、その都度対応が必要になります。
ここで選択肢の一つとなるのが、クラウドサービスです。
クラウドサービスでは、OSやインフラの保守、監視体制、認証基盤など、セキュリティを支える運用の一部をベンダー（サービス提供事業者）が担っています。そのため、自社でどのようなセキュリティ対策を講じるかだけでなく、「どのような運用基盤を備えたクラウドサービスを選ぶか」も、セキュリティ投資を考えるうえでの判断材料になります。
クラウドサービスは、単に業務を効率化するためのツールというだけではありません。そのサービスがどのような運用基盤を備えているかによって、自社で担う運用の範囲や負担、セキュリティレベル、さらには環境の変化に合わせて安全性を維持できるかどうかにも影響します。
だからこそ、クラウドサービスを選定する際には、機能や価格だけで比較するのではなく、「継続して安全に運用できる基盤を備えているか」という観点も判断材料になります。
クラウドサービスを比較するときは、機能や価格、使いやすさだけでなく、セキュリティを支える運用基盤も判断材料に含める必要があります。
とはいえ、クラウドサービスの運用基盤は、機能のように目に見えるものばかりではありません。ベンダーがどのような考え方でセキュリティを維持し、どこまでの運用を担い、どのような体制で安全性を維持・向上しているのかは、利用者からは見えにくい部分です。
そこで、クラウドサービスを選ぶ際にも、先述した「継続して運用できる仕組み」を見極める3つの判断軸が役立ちます。この3つの視点から運用基盤を見ることで、機能や価格だけでは分かりにくいクラウドサービスの価値も評価しやすくなります。
ここからは、クラウドサービスの見極め方について、具体的にどのような点を確認すればよいのか見ていきましょう。
クラウドサービスを利用しても、セキュリティに関する運用がすべてなくなるわけではありません。安全性を維持するために必要な運用のうち、どこまでを自社で担い、どこまでをベンダーに任せられるのかは、事前にしっかり確認しておく必要があります。
クラウドサービスでは、OSやインフラの管理、脆弱性への対応、監視、攻撃への対策等、セキュリティを支えるさまざまな運用をベンダーが担います。ただし、その範囲や内容はサービスによって異なるため、自社側にどのような運用が残るのかまで確認することが大切です。
例えば奉行クラウドの場合、世界各国で多くの企業に利用されているMicrosoft Azureをクラウド基盤に採用し、OSの更新やインフラの運用、24時間365日の監視などをサービス基盤として実施しています。
Microsoft社は、セキュリティ関連の研究開発に年間10億米ドル超を投資しており、3,500名超のサイバーセキュリティ専門家が常時監視・保護を実施しているため、万が一異常が発生した場合も速やかに対応できます。（Microsoft社公式発表）
また、OSの「特別な管理権限」はMicrosoftが一元管理しており、OBCでも触れられない仕組みになっているため、昨今脅威とされるランサムウェア攻撃からも業務データを守る構造になっています。
さらに、奉行クラウドでも独自にアクセス認証やデータ暗号化、24時間365日の運用監視、WAFやFirewallによる攻撃対策、脆弱性診断など、多層的なセキュリティ対策を提供しています。
このように、セキュリティ機能の有無だけでなく、安全性を支える運用のどこまでをベンダーに任せられるのかを確認することで、自社に残る運用と本来の業務を無理なく両立できるかを判断しやすくなります。
企業では、人事異動や組織変更に伴い、利用者の追加や削除、権限変更などが日常的に発生します。こうした対応を担当者個人の経験や判断に委ねていると、設定漏れや権限の付与ミス、確認不足などが起こる可能性があります。クラウドサービスを利用する場合でも、こうした自社の利用者や権限を適切に管理することが欠かせません。
そこで確認しておきたいのが、利用者ごとの権限管理やアクセス制御、パスワードポリシーの設定、ログ管理など、「組織として定めたルールに基づいてセキュリティを統制できる仕組みが備わっているか」という点です。
奉行クラウドの場合、利用者・権限管理やアクセス制御、パスワードポリシーの設定、ログ管理といった機能を備えており、組織全体で統一したルールに基づく運用を支援しています。また、承認権限と担当者の区分けや参照権限の詳細設定なども行えるため、業務内容に応じた適切なアクセス管理が可能です。
こうした仕組みがあれば、担当者が変わるたびに運用方法や判断基準が変わることを防ぎやすくなります。特定の担当者の経験や判断だけに頼るのではなく、「組織として一貫したセキュリティ運用ができるか」という視点で確認しましょう。
セキュリティを取り巻く環境は常に変化しています。新たな攻撃手法や脆弱性が次々と現れるため、導入時に十分なセキュリティ対策が講じられていても、その状態が将来にわたって続くとは限りません。
そのため、クラウドサービスの選定時は、現在備えているセキュリティ機能だけでなく、変化に応じてサービスが更新・改善され、必要なセキュリティ水準を維持できる体制があるかを確認する必要があります。
例えば、定期的な脆弱性診断を実施し、その結果をもとに改善を繰り返しているか、インフラやOSを継続的に更新しているかといった点は、サービスが変化に対応しながら安全性を維持できるかを判断する材料になります。
また、変化するのはセキュリティ上の脅威だけではありません。企業の事業や業務環境が変われば、システムの利用方法も変化します。そうした変化があっても、必要なセキュリティを維持しながら利用できるかという点も、長期的な運用を考えるうえでは欠かせないポイントです。
奉行クラウドの場合、定期的な脆弱性診断を実施し、発見された課題に対する修正・改善を継続的に行っています。また、クラウド基盤であるMicrosoft Azureでも、インフラやOSの継続的な更新が行われています。
こうしたセキュリティへの取り組みは、SOC1・SOC2（SOC報告書）※1報告書の取得やISMAP※2への登録、ASM評価※3での最高グレードA評価といった第三者評価にもつながっており、サービス全体で高いセキュリティ水準の維持・向上に取り組んでいることの裏付けとなっています。
さらに、企業規模や利用者の増加に対応できる「成長できるシステム」として、企業の成長に合わせてグレードアップができます。クラウドサービスの特性を生かし、場所にとらわれず業務に対応できるため、働き方の変化にも柔軟に対応できます。法令やガイドラインが改正された際には、施行に合わせてプログラムが更新されるため、利用企業側で個別にシステム改修を行うことなく、改正後の制度に沿った業務を行うことができます。
このように、クラウドサービスを評価する際には、導入時点の機能や安全性だけでなく、新たな脅威への対応はもちろん、事業や業務環境が変化しても、安全性を維持しながら利用できる基盤になっているかまで選定時に確認しておきましょう。
※1：SOC1・SOC2（SOC報告書）：クラウドサービスや業務委託サービスなどを提供する事業者の内部統制・セキュリティ管理体制が適切に設計・運用されているかについて、独立した監査人が評価し、その結果をまとめた報告書。SOC1は財務報告に関係する内部統制が適切に運用されているかを評価し、SOC2はサービス全体のセキュリティや運用管理体制が適切かを評価します。
※2：ISMAP：日本政府が運用する「政府情報システムのためのセキュリティ評価制度」。
※3：ASM評価：ハッカーと同じ外部視点から、インターネット上に公開されたIT資産を調査し、潜在的な脆弱性やリスクを可視化する評価手法。
セキュリティ投資を考えるとき、「何を導入するか」はもちろん大切です。しかし、それだけで投資の良し悪しを判断することはできません。
企業を取り巻く環境やセキュリティリスクが変化し続ける以上、必要なのは、その時々のリスクに対応するだけでなく、安全性を継続して維持できる仕組みをつくることです。導入後の運用まで見据えて投資を判断することが、結果として長期的なリスク低減につながります。
これからセキュリティ製品やクラウドサービスの導入・見直しを検討する際には、ぜひ「導入した後も、安全に運用し続けられるか」という視点を加えてみてください。
奉行クラウドのセキュリティ対策や、それを支える運用基盤については、ホワイトペーパー「奉行クラウド セキュリティ対策ガイド」で詳しくご紹介しています。自社のセキュリティ対策を検討する際の参考として、ぜひご活用ください。