Column

SMB向けセキュリティ管理サービスの選び方

会社のIT管理が社内の手に負えないと思ったら、セキュリティ環境を支援してくれるサービスプロバイダーを探すことだ。ではどうやってサービスを選べばいいのか。

公開 2007年05月21日 05時00分

更新 2012年09月04日 19時43分

著者

Mike Rothman

[TechTarget]

印刷する Googleで優先するソースとして追加

　中堅・中小企業（SMB）のIT専門職が真っ先に考えるのはセキュリティのことだろう。残念ながら、SMBにとってリソースの制約と予算の現実は厳しいものだ。クレジットカードのセキュリティ基準であるPCIDSS（Payment Card Industry Data Security Standard）に焦点が当てられる中、これまでこうした規制について心配する必要のなかった何百万ものSMBが、セキュリティコンプライアンスの真っ只中に置かれることになる。

　どうすべきか。現実に目をそむけて問題が過ぎ去ることを祈る態度は通用しない。何も手を打たないという選択肢はないのだ。

必要なスキルとは

　戦略的オプションについて解説する前に、現在のセキュリティ問題と取り組むために必要なスキルについて、率直に評価してみよう。

ノウハウ

　攻撃の手口は極めて巧妙化しており、ITを守るためにはこれに追いつかなければならない。つまり、ファイアウォールの設定、仮想プライベートネットワーク（VPN）、不正侵入防止、アプリケーションセキュリティ、および一般的なSMBセキュリティアーキテクチャを構成する約5～10種類の製品の設定を難なくこなせることが必要だ。

情報

　セキュリティは非常にダイナミックなものであり、日ごと大きく変化する。一度設定したら忘れてしまっていいというわけにはいかない。セキュリティ市場の動向と、最新の攻撃手段に常に気を配る必要がある。攻撃者より常に一歩先を行くためには、一貫した警戒態勢が必要だ。

時間

　SMBのIT管理者にとって最も貴重なのは恐らく時間だろう。しかし、真新しい製品を売りつけてくるベンダーのうたい文句が何であろうと、常に最高のセキュリティ環境を保つには時間がかかる。ポリシーの管理と、自社のシステムに脆弱性が存在しないことを確認するのが中心的な作業になる。

　上記のようなスキルが自分にはないと思ったら、決断は容易だ。セキュリティ環境を支援してくれるサービスプロバイダーを探せばいい。セキュリティ管理サービスプロバイダーにはあらゆる形態と規模があり、再販業者がこの分野にかかわるケースも増えている。セキュリティ環境管理を「支援」してくれるという連中に圧倒されるのは間違いない。

サービスプロバイダーの選び方

　では主要サービスプロバイダーはどうやって選べばいいのか。さまざまなサービスプロバイダーと話をする際、次の4点を念頭に置くことだ。

1. 専門業界

　SMBといってもそれぞれの業界（銀行、医療、小売りなど）によってシステムのバラエティは幅広い。自分の業界のやり方を知っていて、自社のビジネスを動かすシステムに詳しく、同じような企業多数と取引しているサービスプロバイダーが望ましい。

2. 規模

　大きいことが必ずしもいいことだとは限らないが、ことセキュリティ管理サービスプロバイダーの選定では規模が問題になる。話の分かる担当者による24時間年中無休のサポートが必要だ。近所のガレージでファイアウォール管理ビジネスを手掛けているような相手は問題外だ。セキュリティ業務は、ほかの業務機能と同様、相当の経済規模に到達するものであり、プロバイダーの規模が大きいほど活用度も高く、長期的にみれば料金引き下げにつながるはずだ。

3. ノウハウ

　繰り返しになるが、セキュリティは非常にダイナミックなビジネスだ。サービスプロバイダーは多くのレベルでセキュリティ業界に通じていることが望ましい。新手の脅威について分析する研究組織を社内に持ち、著名専門家が顧客向けのアーキテクチャを構築し、攻撃者の先を行く一助となっているところがいい。ブラックハットカンファレンスに出入りするような人材がいない場合、そのサービスプロバイダーにはニーズを満たせるほどの専門性はない。

4. 多様なサービス

　もしかしたら、あなたは最初、ファイアウォールや侵入防止システムを管理するためだけにこの市場に足を踏み入れたのかもしれない。しかし時がたってどんどん忙しくなり、セキュリティ機能が高度化すると、サービスプロバイダーに責任を担ってもらいたいと思うようになるだろう。行き届いたサービスを提供していて、自社のビジネスとともに成長できる業者を選ぶことだ。

　セキュリティ管理サービスはどんな組織にも向いているというわけではない。高度なレベルのコントロールが必要だったり、特製のカスタム版ビジネスシステムが大部分を占める場合は機能を社内にとどめておきたいこともある。しかし、セキュリティ管理に目を向けるSMBが増えているのは、そのためのリソースやノウハウが社内にないという単純な理由からだ。

　すべて自分でやったところで表彰されはしない。これは自社の基幹システムの可用性とセキュリティ維持にかかわる問題であり、そのための助けが必要ならば、助けを求めることだ。

本稿筆者のマイク・ロスマン氏は、業界分析会社、セキュリティ・インサイトの社長兼主席アナリスト。

印刷する

この記事の著者