セキュリティに関する問題を解決するには、次の4つの方法があります。
セキュリティは「保険」ではなく、様々な最新技術を活用し、ビジネスを円滑に進めるためにはなくてはならない仕組みです。その仕組みを構築するためには、どんなリスク「対象」があり、どこまで「範囲」を、どれだけのコストをかけるか（投資）というセキュリティの方針を策定する必要があります。
その第一歩としては、現状どこまでの対策がなされているのかを把握する必要があります。この方法としては、現状のセキュリティレベルの診断や、ポリシー策定をアウトソーシング会社へ支援を求めることが考えられます。ここでのポイントは支援を委託する業者がISOやISMS、プライバシーマークなど、公的に認証された業者であることです。その助言を元に的確なポリシーの立案を行い、その後の対策をとることができます。
セキュリティの対策には、日々発生するリスク情報の収集や対策の立案、サーバやクライアント、更にはオフィス環境といったインフラへの対応が求められます。
この運用を一度だけではなく、PDCAのサイクルを常にきちんと回していく必要があり、とても片手間でできるものではありません。これに対応するためには、社員による運用と外部へ委託するという方法があります。セキュリティの維持は企業の業務を推進するうえでは必要不可欠な業務です。しかしながら、限られた社員を投入するようなコア業務ではありません。
一方で、日々発生するリスクや適用業務には専門的な知識や技術が必要となります。これらをプロのアウトソーシング会社へ依頼することで、責任を分化し安心を得ることができます。
入退室管理やシステム利用者の認証などのセキュリティ確保に必要な設備には多額のコストが必要とされます。それに対応するには、外部の専門業者の設備を活用するという選択肢があります。
これにより自社の設備投資が軽減され、夜間・休日を問わずセキュリティ対策を施すことができます。
情報漏えいのおよそ8割が社員による犯行といわれています。
システム化によってセキュリティを確保したとしても、それを利用するのが人である限り万全な対策が取れたとは言い切れません。このリスクを低減できるかは、社員一人ひとりの社会的責任を認識させ、それを維持していくことが重要です。
しかしながら、そのための講師の育成や教材の作成は企業にとっては大変な負担となります。セキュリティのような専門的な知識を必要とする問題に関しては、その人材育成にはITだけでなく、業務に精通し、課題解決能力の高いスペシャリストへ社員育成を委託することが有効です。
A社ではシステム部門フロア内にサーバを設置していました。昨年策定したセキュリティポリシーに準拠するため、サーバルームの入退出管理とネットワークのセキュリティ強化が懸案事項となっていましたが設備増強の範囲が不明確で、それに要する費用も大きな負担でした。
データセンターの共有設備を活用することで、独自でセキュリティ設備やシステムを構築するのに比べ、投資を抑えるえることができました。24時間365日の入退室管理やサーバの安定稼動を実現し、必要なセキュリティ対策が強化されました。
B社は全社のクライアントPCへ暗号化ソフトと合わせて、セキュリティソフトの導入を実施しました。情報システム部ではパッチの適用が発生した際には、各部門のセキュリティ担当者へ依頼するのと合わせて、全社ポータルへの掲示とメールによる案内を発行していました。
しかしながら、実際には期限内で実行される端末は全体の7割に過ぎず、残りは情報システム部より再度適用を依頼し、それでも適用されない場合は作業を代行する運用となっていました。また、部門個別で購入した開発マシンや各支店端末でのパッチ未適用など、情報システム部門が把握できない、あるいは現地対応が困難な端末の管理に頭を悩ませていました。
この実情を打開するべく、資産管理をアウトソーシング会社へ依頼し、現状資産の棚卸しや、セキュリティ対応を業務委託しました。
C社では昨年のパソコン盗難事件を機に、セキュリティに関する社内アンケートを実施しました。
その結果、個人パソコンを業務に使用していたり、個人情報を含んだ重要ファイルを暗号化せずに外部へメール配信していたりという実情が明らかになりました。
この現状を改善するために、社員一人ひとりの意識改革が必要であると判断し、社員教育の徹底が緊急課題としてあげられました。
以前は冊子を配っても読んで貰えなかった状況を踏まえ、C社ではWebを使ったセキュリティ教育のサービスを採用することになりましたが、設備投資の負担とコンテンツの作成が問題となりました。
そこでコンテンツ作成まで含めたASＰサービスを利用することにしました。
これにより、社員は時間・場所を問わず最新のIT・セキュリティ動向に準じた教育を受講することが可能になり、管理者は学習の進捗/履歴管理が容易になりました。
