阿部氏はまず、事業会社の本業はあくまで「経営の安定化、維持発展拡張」であり、サイバーセキュリティはそれを阻害する脅威の1つに過ぎない、と前提を整理する。一方攻撃側はプロ集団であり、社内の一部門だけで対抗するには体制もスキルも不足しがちだ。そこで、MSSが味方として「伴走」することで、体制を補完できると同氏は説明する。

　ただし「役割分担を整理せずに丸投げすると、期待効果は得られません」と阿部氏は強調する。では、MSSに期待してよい領域は何か？

　阿部氏が挙げるのは、セキュリティ機器の扱いやアラートの読解、最新の攻撃手法の分析、導入済み機器の有効性の恒常的な調査、アラートに対する一般的なリスク測定だ。一方、業務インパクトを勘案したトリアージ、社内関係部門への説明や対応交渉、ベンダーコントロール、経営層へのエスカレーションなどは、事業会社しか担えない業務だ。

　「業務インパクトの判断をMSSに求めるなら、その要員に自社の業務内容を知ってもらう必要がある。新人を1人前に育てるのと同じだけの時間がかかる」と阿部氏は指摘する。

　実務上の合意事項として、阿部氏は4点を挙げる。第1に、事業会社の業務に合わせたアラートのチューニングだ。これによりアラート量が削減され、セキュリティ担当への通知（コール）の負荷が下がる。第2に、アラートの適用判断プロセスにおけるMSS側との合意と協力。第3に、エスカレーションレベルとSLA（サービスレベル契約）の取り決め。第4に、一次対応の範囲と役割分担の明確化だ。「両社が二人三脚をするように足を合わせないと、一緒に走れません」と阿部氏は述べる。

再学習コストと人材流出──MSS活用の「損益分岐」を見極める

　MSSの最大のメリットとして阿部氏が強調するのは「再学習コストの削減」だ。セキュリティ製品は5年も経てば大きく入れ替わる。事業は変わらないのに、機器が変わるたびに事業会社側でアラートの読み方をゼロから学び直すのは非効率だ。最新の攻撃傾向をインテリジェンスで追い続けるのも「かなりのコストがかかる」。この領域こそMSSの得意分野だと阿部氏は強調する。

　一方、MSSの利用方針については将来像を描いた上で判断すべきだと阿部氏は述べる。選択肢は大きく3つある。MSSを使い続ける、委託範囲を段階的に自社へ移す、全て自社化する、だ。

　全て自社化する場合のリスクとして、阿部氏は以下4点を挙げる。

• 製品の移り変わりが速く担当者がスキルを追い切れない
• アラート対応から顧客対応まで抱え込んで担当者が疲弊する
• セキュリティ担当者のスキルパスを自社で構築していない場合、将来への不安から従業員の士気が下がる
• 技術力が高まった従業員が高待遇でスカウトされ転職してしまう

　そこで阿部氏は、「深入りしない選択も現実的」だと述べる。さらに、自社の給与体系やキャリアパスが従業員にとって納得できるものかを再確認した上で計画を立てるべきだという。

　まずMSSが報告する内容を理解し、社内プロセスを自力で回せるようにするのがファーストステップだ。「報告内容を理解し、影響が小さい段階でインシデントを止められれば被害は小さく済む。経験によって知識が蓄積され、自信がつくはずだ」と阿部氏は説明する。

フォレンジックは「答え合わせ」

　脆弱（ぜいじゃく）性診断とフォレンジック調査の活用法についても阿部氏は触れる。

　脆弱性診断について阿部氏は、報告書に記載される高度・中度・軽度・インフォメーションの各リスクに「どこまで対応すべきかの判断基準が自社内にあるか」を問いかける。中度や軽度の指摘であっても、自社の他の防御装置の効果によって実際のリスクは低い場合もある。逆にインフォメーション（情報提供レベル）であっても「企業としての信頼性の低下につながる項目が隠れている場合がある」と注意を促す。いずれも外部の診断者には判断できないため、事業会社自身が評価すべき領域だ。

　さらに、リスクを経営者に説明した上で「経営者承認のもとで」許容判断を行う体制が必要だと述べる。プロジェクトごとに判断がばらつくことのないよう、社内基準を整備することも重要だ。

　フォレンジック調査について阿部氏は、「フォレンジック調査の結果は、自社で調査した結果の答え合わせとして利用すべきだ」と踏み込んだ提言をする。「何だかよくわからないので調べて、という雑な依頼」では時間がかかり、並行して進めるインシデント対応が遅れる恐れがあると警告する。

　具体的には、自社内で仮説を立てた上で、以下8項目をフォレンジック調査会社への要求事項として明示すべきだと阿部氏は提案する。

• インターネットアクセス履歴の確認
• アクセス先コンテンツの抽出
• ファイル実行履歴の調査
• タイムスタンプ変更の追跡
• ログファイルの突き合わせ
• 削除ファイルの復元
• 閲覧・操作されたファイルの調査
• タイムライン解析

　「フォレンジックで100％真実が解明できることはほとんどない。仮説を立てて検証することで、より真実に近づける程度だと捉えてほしい」（阿部氏）

グループ会社への伴走──支援の前に「決めさせる」6項目

　親会社やホールディングスの立場からグループ会社やサプライチェーンのセキュリティを支援する場合はどうすればいいのか。阿部氏は、「自分が伴走者として助ける側に回る」場面、インシデント発生前に支援先であらかじめ整備しておくよう依頼すべき6つの確認事項を示す。

• CSIRTの対象組織と対応範囲（サービス範囲）
• CSIRTに与えられた権限
• 組織との間の責任分担
• CSIRTが対応する実施内容
• SLA
• CSIRTの組織上の位置付けと所属

　「上記が決まっていないまま飛び込んでも、誰に何を頼めばいいのか分からず何もできなくなる」（阿部氏）

　インシデント発生時の支援項目としては、体制構築、資産管理・構成確認、現行防御態勢の有効性確認、報告書作成、初動対応、インシデント対応作業、対策の有効性確認、プロジェクトマネジメント、経営者へのコスト説明、再発防止策、業務再開判断の11項目がある。それぞれについて「支援を受ける側」と「支援する側」の役割を事前に合意しておくことが不可欠だ。例えば、体制構築は支援を受ける側が進め、体制のモデル提示は支援する側が担う。報告書は支援を受ける側が作成し、支援する側がレビューする、といった分担だ。

　阿部氏は最後に、AI時代の攻防戦にも触れる。「サイバーセキュリティにおいても今後はAIを使った攻防戦が予測される。しかし、それを使いこなすのは人間だ」と述べ、プロとともに走る体制こそが持続可能なセキュリティの基盤になるとの見方を示す。

※本稿は、2026年3月9日に開催された「ITmedia Security Week 2026 冬」のセッション「伴走型セキュリティの実践知―プロ集団を味方につけ、自社とサプライチェーンを守る」の内容を記事化したものです。