ITのアウトソーシングは業務効率の向上をはじめとしたさまざまなメリットをユーザー組織にもたらす。だがアウトソーシングをする場合も、セキュリティの責任はあくまでユーザー組織側にある。ITのアウトソーシングを決める前、MSP（マネージドサービスプロバイダー）やMSSP（マネージドセキュリティサービスプロバイダー）が提供するサービスの責任範囲を念入りに確認しよう。クラウドストレージに重要なデータを保存する場合も、同様の確認が必要だ。

実例

　リーズの小規模法律事務所は、システム管理を外部のITサービスプロバイダーに委託していたが、セキュリティの責任範囲を明確には確認していなかった。その結果、ソフトウェアのパッチ（修正プログラム）が未適用であることが原因で、システムがマルウェアに感染して停止した。復旧に多額の費用を要したという。

対策

• 責任範囲の明確化
  • システム管理に関わっている全ての第三者に対し、セキュリティの範囲を詳細に把握する。
• 監査の実施
  • セキュリティの実施状況について認識に相違がないかどうかを確認するために、セキュリティ対策を定期的に評価する。

セキュリティを強化するには

　ここまでにセキュリティにまつわる5つの誤解を紹介してきた。以下では、規模や予算を問わず、全ての組織が実行できる基本的なセキュリティ対策を紹介しよう。

• 多要素認証（MFA）
  • 認証情報が流出しても不正アクセスを防げるように、業務用アカウントのログインにMFAを導入する。
• 定期的なアップデートとパッチ適用
  • 攻撃者に悪用される脆弱（ぜいじゃく）性を減らすために、システムを常に最新の状態に更新する。
• セキュリティ意識向上のトレーニング
  • フィッシングメールの不審なリンクをクリックしないよう、脅威を認識するためのトレーニングを従業員に提供する。
• パスワードマネジャーの利用
  • アカウントごとに異なる強固なパスワードを設定し、パスワードマネジャー（パスワード管理ツール）で安全に管理する。
• 定期的なバックアップ
  • 重要なデータを定期的にバックアップし、バックアップシステムの信頼性を定期的に検証する。
• ネットワークセグメンテーション
  • 機密データを取り扱う重要なシステムを安全性の低いネットワークから分離し、侵害時の影響を最小限に抑える。

　セキュリティに関する誤解や思い込みは油断につながり、ユーザー組織を重大なリスクにさらす可能性がある。誤った認識を修正し、自社のセキュリティ戦略を確立することで、巧妙化する脅威に対処しよう。被害発生後の復旧コストと比較すれば、事前にセキュリティ対策の強化を図ることははるかに安価だろう。