セキュリティサービスをアウトソースするという判断は、二重の意味で難しい。サービスを任せる相手が自分の会社の情報資産を保護する能力を十分に備えていると信じる一方で、会社に損害を与えるのに必要な知識も持ち合わせているという認識を持たなければならないからだ。とはいえ、多くの中小・中堅企業にとっては、高度な情報セキュリティ機能を導入するに当たっては、外部の支援に頼らざるを得ないのが実情だ。セキュリティ分野の専門家を雇い入れるのは非常に難しく、小規模な企業にはその費用を受け入れるだけの合理性はない。

　では、中堅企業がアウトソーシングを検討する必要があるのは、具体的にどのようなセキュリティ業務なのだろうか。以下に5つの業務をリストアップした。

インフラセキュリティの評価

　この業務は最も重要であり、その具体的内容としては、脆弱性の評価、ウォーダイヤリング、ネットワーク外辺部のスキャン、社内ネットワーク／サーバ／デスクトップのスキャン、ポリシー／手順の再検討などが含まれる。会社が一定の基準に達していることを認定できる業者もある。シストラストやウェブトラストなどの企業が認定サービスを提供している。

　認定の取得に掛かる費用は、IT施設の数や規模といった要因によって異なるが、おおむね100万ドル台前半とみておけばいいだろう。認定を維持するための継続的費用は、取得費用を若干下回る。こういった認定は、オンライン顧客やビジネスパートナー、企業顧客などを安心させるものとなる。この業務にフルタイムの専門スタッフを雇うのは現実的でないケースが多い。

アプリケーションセキュリティの評価

　この業務には通常、社外の専門知識が必要とされる。また、この業務を管理するスタッフを見つけるのは難しい。アプリケーションセキュリティの評価は、最も重要なコンピュータプログラム（特に顧客向けのWebベースのプログラムなど）にフォーカスしたものとなる。中堅企業では、市販のソフトウェアをインストールするだけでなく、商用製品を部分的に変更するなどして独自のアプリケーションを構築することも多い。これらのアプリケーションのそれぞれについて、徹底的かつ定期的にテストしなければならない。

デューディリジェンス業務

　会社がデューディリジェンス（査定）業務に携わっている場合も、外部業者の協力を求めるのが賢明だ。デューディリジェンスの対象となるのは、企業の財務健全性や技術インフラ、物理的セキュリティなど多岐にわたる。一般に、小規模企業はこういった調査に必要な専門知識を持ち合わせていないため、資格を持ったコンサルタントを雇うことは、コストに見合った投資だといえる。社内リソースのコスト、コンサルタント料、出張経費を含めると、1万ドル（地元業者を利用する場合）から5万ドル（複数の施設を保有する企業が遠隔地の業者を利用する場合）の出費を見込んでおくこと。

情報セキュリティポリシーの策定・適用

　情報セキュリティポリシーの分野では、社外の専門知識が不可欠だ。これは非常に専門的な分野であり、社内の法務顧問でも判断できないかもしれない。セキュリティポリシーのサンプルはWebから入手できるが、セキュリティポリシーがすべての関連法令に準拠しているかどうかという判断では、専門家の意見を仰ぐことが重要だ。

セキュリティ機器の管理

　毎日24時間の監視体制が必要とされる企業などでは、ファイアウォールや侵入検知／防御システムの管理も、アウトソーシングの対象となることが多い。これらのサービスプロバイダーは会社の門番になるわけだから、彼らの素性をチェックすること。また、委託先の監視役を務める専門家を社内に置いておく必要もある。監督業務を担当するスタッフは、委託先が発するアラートに対応できる知識を持った人でなくてはならない。

本稿筆者のC・ウォーレン・アクセルロッド氏は、大手金融機関の中堅子会社のセキュリティ担当者で、「Outsourcing Information Security」の著者である。