「不安だから」のセキュリティ対策を撲滅したい

「うちのセキュリティ対策って本当に大丈夫なの？」

そんな不安から発生する、目的不明な謎調査、会議と説明会のための資料作成。
そして突如導入されるWAF、IPS、バックアップストレージの運用保守と例外だらけの運用ルール。
ベンダーに言われるがまま構築したユーザー自動作成機能付きの認証基盤はブラックボックス。

この無意味な対策、やめませんか

このような進め方を「不安ベースアプローチ」と俗に言いますが、
誤解を恐れずはっきり言います。

不安ベースアプローチは誰も幸せになりません

例えばこういうこと

あなたはテレビで、「大手企業がサイバー攻撃の被害」というニュースを見ました。
不安になったあなたは信頼するセキュリティベンダーに相談します。
「ネットワークへの侵入を防ぐならIPSですね」と言われたので、IPSを導入しました。

それらを監視する体制も外注として、SOCサービスも併せて契約しました。

そしてその姿を見て情シスさんは思うのです。
うち、クラウドしか使ってないんですけど？

はい、無駄な費用と労力を使って、無駄なシステムがひとつ増えた瞬間です。
そしてこれを以て運用コストも重なっていき不良債権まっしぐらです。

セキュリティ対策の正しい考え方

この例を見てどうでしょうか。現実的じゃないと思いました？
ちなみにこれ、実体験ベースです。

他にも認証基盤が謎の3重構成だったり、CA証明書と指紋認証とYubikey、パスワードと併せた4重認証だったり。
事実は小説より奇なり、とは言いますが、殊日本においてはこういう謎セキュリティが現役で稼働していることがざらにあります。

じゃあどうやって対策するのが正しかったのでしょうか。
セキュリティ対策はまず何から着手するべきなのでしょうか。

意外かもしれませんが、会社のセキュリティをどう組み立てていくべきかが分からない人、長年ソフトウェアエンジニアしてきた人でも結構います。

難しいことは考えずにもうこれだけ覚えて帰ってください。

リスクとベースラインのハイブリッドアプローチ

もうこれです。迷ったらこれ一択だと思ってください。¹
むしろもう、これに頼って難しいことは考えないでください。

猫も杓子もこの合言葉を使いましょう。
最低3回は声に出して読んでください。

様々なセキュリティ対策のアプローチ手法

情報セキュリティというリスクの考え方には、様々なアプローチ方法があります。

1. ベースラインアプローチ
あらかじめ実現すべき最低基準を設定する

2. リスクベースアプローチ（詳細リスク分析）
リスクの特定→評価→優先順位付け→対策
限られたリソースを最も重要な脅威に集中

3. 非形式的アプローチ
経験と勘

4. コンプライアンスベースアプローチ
法規制や業界標準の遵守を重視

5. 標準ベースアプローチ
既存のベストプラクティスに基づく

6. ビジネスプロセスアプローチ
技術的リスクだけでなくビジネスプロセス上のリスクも評価

その他、色々な人や団体が一生懸命悩んで体系化した手法があるのです。

そんな中で、IPAや総務省のドキュメントでは、以下のようなアプローチの組み合わせが推奨されています。

1. まずベースラインアプローチで全体の底上げ

   • ISMSやNIST CSFなどの基準を参考に最低限の対策を実施

2. 重要資産を特定してリスクベースで深掘り

   • 顧客情報、基幹システムなど重要度の高いものを洗い出し
   • 詳細なリスク分析を実施

3. 継続的な見直し

   • 定期的にリスク評価を更新
   • 新たな脅威への対応

重要なのは、適切な対策が取られているか説明できることです。

過剰な対策はコストと運用負荷が増大して、本来の業務を圧迫しますし、
また不足な対策は実際のリスクに対して無防備であるということになります。
「なんとなく不安だから」では、その対策が：

• 本当に必要なのか
• 適正なレベルなのか
• 不足していないのか

を説明できません。これこそが最大の問題です。

適切な目標と適切な対策が組み合わさって初めて、みんながハッピーになるセキュリティ対策となるのです。

まとめ

「なんとなくやばそう」「うちは大丈夫なんだろうか」
その思いは健全ですが、適切にアプローチすることで初めて適正な対策ができます。

不安に駆られて場当たり的に対策するのではなく、

リスクとベースラインのハイブリッドアプローチ
それを常識にしていきましょう。

具体的な方法については色々な方が情報をまとめていますので、ぜひ調べてみてください。

それでも、どのように進めるべきか迷ったら、この記事にコメントください。
可能な限りお手伝いさせていただきます。

不幸な情シスが一人でもこの世からいなくなりますように。

参考資料

• IPA「中小企業の情報セキュリティ対策ガイドライン」
• デジタル庁「政府情報システムにおけるセキュリティリスク分析ガイドライン」
• NIST Cybersecurity Framework

1. もちろん誇張してます。適切なアプローチは企業によって異なります。しかし大体の企業はこの「ハイブリッドアプローチ」で事足ります。 ↩