セキュリティ製品選びで失敗しない8ステップベンダーの言いなりになってはいないか?

ベンダーは契約獲得のためなら真実をもねじ曲げる。口車に乗って高価な製品を買っても無駄になるばかりだ。自社買う側が主導権を取り戻すためにはどうしたらいいのか。

2007年11月15日 04時45分 公開
[Mike Rothman,TechTarget]

 セキュリティ専門家にとって、製品やサービスの購入は最悪になるか最高になるかのいずれかだ。例えば情報セキュリティなどの市場を取っても競争は過酷で、ベンダー各社は販売契約獲得のために(あえて言うが)真実をねじ曲げる。

 企業が製品を一度も試用しないまま数十万ドルを費やしているとか、棚で埃をかぶったままの製品に数百万ドルを費やしたという話を聞くと、歯がゆさを感じる。マルチミリオンダラーの巨大企業の時代にあっても、技術管理職も業務管理職もエンタープライズセキュリティ製品の買い方を知らないため、法外な額が浪費されている現状には気分が悪くなる。

 ここで紹介するセキュリティ製品の購入に関する8ステップ戦略は、セキュリティ専門家が購買プロセスにおける主導権を取り戻すことが狙いだ。

 営業のプロは、このプロセスで主導権を握り、自分たちの売っている製品が必要なのだと顧客に思い込ませる訓練を受けている。営業担当者は体系化された営業サイクルを通じ、この目標達成に向けて顧客を誘導しようと全力を尽くす。この営業サイクルが、顧客が達成したいと思っている内容に沿うことも時にはあるが、そうでないことの方が多い。

 以下のプロセスはセキュリティ責任者のニーズに沿って、組織が適正な製品を適正なときに、適正な価格で購入できるように確立したものだ。

ステップ1:基盤固め

 どういう理由で何を購入する必要があるのかを知っておくのは、買う側の責任だ。ベンダーは、潜在顧客への接触時に買わせる誘因を作り上げようとするが、言いなりになってはいけない。正しい買い物のためには、セキュリティチームの予算と事前に承認されたプロジェクトが必要だ。こうしたプロジェクト予算獲得の鍵となるのは、ビジネスニーズと関連付けることだ。

ステップ2:チーム編成

 運良くリソースがあるなら、プロジェクト推進チームを編成する。この取り組みにはリーダー(プロジェクト成功の最終責任を負える人物)と、実際の評価を行う技術責任者またはグループが必要だ。

ステップ3:教育

 ベンダーが認めようと認めまいと、知識を持った買い手が最高の買い手だ。この段階は、自分たちが解決しようとしている問題と、それを解決するためのベストプラクティスについて、しっかり理解するためにある。関連する問題についてすべてを学ぶことはない。それでは時間がかかり過ぎる。それよりも、的を射た質問をするための知識を身に付けるのが目標だ。インターネットには、事始めに必要なバックグラウンドを提供してくれる優れたリソースがたくさんある。

ステップ4:行動開始

 この段階ではセキュリティ責任者がベンダーやリセラーに接触し、実際の調達プロセスを開始する。売り手はサプライヤーの名をたくさん連ねた長いリストを作りたがるだろう。このリストには、ステップ1で定めたニーズを満たしてくれる「かもしれない」提供元が列挙されることになる。リストを絞り込む1つの方法は、正式なRFI/RFP(情報提供依頼書/提案依頼書)プロセスを検討することだ。そうすればニーズに合った製品を売り手側に選んでもらうことが可能になる。

ステップ5:テスト

 製品購入の検討に費やせるリソースとプロジェクトの重要性に応じて、長いリストに挙げられた製品を幾つかテストしてみる。少なくとも2つ以上だ。製品のプロダクション導入は現実的でないかもしれないが、評価対象となる製品を実行し、プロジェクトのニーズが満たせることを確認するためのテストケースを構築する。特に、ベンダーの宣伝文句が事実を誇張していないかどうかに注意を払うことは、プロジェクトの成功に不可欠だ。

ステップ6:絞り込み

 リストの絞り込みはテストの前に確定するものだと考えるかもしれない。しかし考えてみてほしい。テストでの評価の結果、自社製品が買い手のニーズを満たし、ビジネス上の問題を解決できると分かれば、ベンダーの方でリストを絞り込んでくれる。ただし、絞り込んだ段階でも、少なくともベンダーを2社は残す必要がある。この時点でリストを絞り込み過ぎない方がいい。交渉相手が多いほど、望みの価格で必要なものを手に入れられる可能性が高まるからだ。

ステップ7:交渉

 わたしが一番好きな部分だ。ここまでうまくやってきていれば、候補として少なくとも2社が残っているはずであり、今度はこの2社を競わせて成り行きを見守るのだ。うまくいけば最初の提示額の半額になる可能性もある。なぜならここに来るまでに、ベンダーはこの契約獲得のために相当つぎ込んでおり、今さらそれを逃したいとは思わないからだ。基本的にはベンダー同士で競わせる。それぞれがこちらのニーズを満たせるわけだから、交渉の主導権は自分が握っている。不満があれば遠慮なく交渉を打ち切って、もう1つのベンダーを当たればいい。

ステップ8:選定

 ベンダーが死闘を展開するのを眺めるのは楽しいものだが、いずれは決定を下さなければならない。正しいプロセスに従っていれば、選定は容易だ。実際に機能させるという楽しみはここから始まる。何らかの理由で自分が選んだベンダーがうまくいかなくても、リストで絞り込んだベンダーはほかにまだ何社もいて、いつでも喜んで引き継いでくれるだろう。

 このプロセスは、どんな場合にもうまくいくとは限らない。例えば新し物好きの組織でニーズを満たせるベンダーが1社しかない場合などはうまくいかない。同様に、機能性や価格より政治がものをいうときもある。

 しかし大抵の場合、セキュリティチームがビジネス上の問題を最善かつコスト効率の高い方法で解決したいと思うなら、この8段階のプロセスに従えば、目標を達成し、高いつけを払って過ちを犯すのを防ぐ一助になるだろう。

本稿筆者のマイク・ロスマン氏は、アトランタにある業界調査企業、セキュリティインサイトの社長兼主任アナリストを務めており、著書に「The Pragmatic CSO: 12 Steps to Being a Security Master」がある。

関連ホワイトペーパー

ベンダー | IT投資 | RFP


Copyright © ITmedia, Inc. All Rights Reserved.

髫エ�ス�ス�ー鬨セ�ケ�つ€驛「譎擾スク蜴・�。驛「�ァ�ス�、驛「譎冗樟�ス�ス驛「譎「�ス�シ驛「譏懶スサ�」�ス�ス

製品資料 サイバーソリューションズ株式会社

PPAPに潜む3つの危険を回避、安全なファイル送受信に移行する2つのステップとは

ファイル共有のセキュリティ対策として広く浸透している「PPAP」だが、昨今、その危険性が指摘され、PPAPを廃止する企業が急増している。PPAP問題とは何かを考えながら、“脱PPAP”を実践する2つのステップを紹介する。

製品資料 スカイゲートテクノロジズ株式会社

まだ多いゼロトラストへの誤解、「そもそも必要な理由」から考える成功への筋道

セキュリティ強化を目指す企業が増える中、ゼロトラスト推進の難しさが浮き彫りになってきた。テレワーク対応などをゴールにするのでなく、「なぜゼロトラストが必要なのか」という原点に立ち返ることで、成功への筋道が見えてくる。

製品資料 スカイゲートテクノロジズ株式会社

SIEM/UEBAとSASEのシームレスな連携、日本企業に最適なセキュリティ基盤とは

クラウド活用の進展と働き方の多様化に伴い、従来の境界型防御モデルでは対処しきれないセキュリティ課題が浮上している。本資料では、国内環境に最適化されたセキュリティ基盤を活用し、これらの課題に対応する方法を紹介する。

製品資料 株式会社大塚商会

バックアップデータもランサムウェアに狙われる時代、今求められる対策とは?

情報セキュリティにおいて、ランサムウェアは最大級の脅威だ。バックアップはランサムウェア対策の最後の砦ともいえるが、昨今はバックアップデータへの攻撃も目立ってきた。そこで、ストレージによる対策のアプローチを紹介する。

製品資料 日本ヒューレット・パッカード合同会社

脅威の一歩先を行く対策を、エッジからクラウドまで網羅するデータセキュリティ

データの増大やサイロ化に伴い、セキュリティ対策の重要性が高まっている一方、サイバー脅威の高度化もとどまるところを知らない。こうした中、エッジからクラウドまで網羅するデータセキュリティは、どうすれば実現できるのか。

鬩幢ス「隴主�蜃ス�ス雜」�ス�ヲ鬩幢ス「隰ィ魑エツ€鬩幢ス「隴趣ス「�ス�ス�ス�シ鬩幢ス「�ス�ァ�ス�ス�ス�ウ鬩幢ス「隴趣ス「�ス�ス�ス�ウ鬩幢ス「隴趣ス「�ス�ソ�ス�ス�ス雜」�ス�ヲ鬩幢ス「隴趣ス「�ス�ソ�ス�スPR

From Informa TechTarget

いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは

いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ(仮想PC画面)は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。

繧「繧ッ繧サ繧ケ繝ゥ繝ウ繧ュ繝ウ繧ー

2025/05/17 UPDATE

  1. 縲瑚コォ莉」驥代r謾ッ謇輔≧縲堺サ・螟悶�繝ゥ繝ウ繧オ繝�繧ヲ繧ァ繧「蟇セ遲悶�譛ャ蠖薙↓縺ゅk縺ョ縺具シ�
  2. 窶懷ス薙◆繧雁燕窶昴�荳榊y縺悟、ァ蝠城。後€€莨∵・ュ縺ォ繧医¥縺ゅk5縺、縺ョ閼�シア諤ァ縺ィ蟇セ遲�
  3. 窶懈勸騾壹�繧「繝励Μ窶昴′蜊ア縺ェ縺�シ溘€€荳也阜繧呈昭繧九′縺呎眠蝙九せ繝代う繧ヲ繧ァ繧「縺ョ豁」菴�
  4. 窶懆、�尅縺ェ繝代せ繝ッ繝シ繝俄€昴h繧翫€後ヱ繧ケ繝輔Ξ繝シ繧コ縲阪r蟆る摩螳カ縺悟匡繧√k逅�罰
  5. 縺ゥ繧後□縺代〒縺阪※縺�k�溘€€縺セ縺輔°縺ョ縲後ョ繝シ繧ソ豬∝�縲阪r髦イ縺絶€�11蛟九�隕∫せ窶�
  6. 繝ゥ繝ウ繧オ繝�繧ヲ繧ァ繧「縺ョ蜊頑焚莉・荳翫′窶懊≠縺ョ萓オ蜈・邨瑚キッ窶昴r謔ェ逕ィ窶補€戊ヲ矩℃縺斐&繧後◆繝ェ繧ケ繧ッ縺ィ縺ッ��
  7. 譛ャ蠖薙↓蜉ケ縺�※縺�k�溘€€莨∵・ュ縺ョ繧サ繧ュ繝・繝ェ繝�ぅ驕狗畑縺ョ窶懃峇轤ケ窶�
  8. Android繧ケ繝槭�縺檎、コ縺�7縺、縺ョ窶懷些髯コ縺ェ蜈�€吮€昴→縺ッ�溘€€莉翫☆縺舌d繧九∋縺阪�繝ォ繧ヲ繧ァ繧「蟇セ遲�
  9. IPA縲梧ュ蝣ア繧サ繧ュ繝・繝ェ繝�ぅ10螟ァ閼�ィ√€阪r蜊倥↑繧九Λ繝ウ繧ュ繝ウ繧ー縺ァ邨ゅo繧峨○縺ェ縺�婿豕�
  10. 蟆主�貂医∩縺ョ縲郡ASE縲崎ヲ狗峩縺励b�溘€€繝阪ャ繝医Ρ繝シ繧ッ繧サ繧ュ繝・繝ェ繝�ぅ縺ョ窶�3螟ァ蜍募髄窶�

セキュリティ製品選びで失敗しない8ステップ:ベンダーの言いなりになってはいないか? - TechTargetジャパン セキュリティ 鬮ォ�エ�ス�ス�ス�ス�ス�ー鬯ィ�セ�ス�ケ�ス縺、ツ€鬯ョ�ォ�ス�ェ髯区サゑスソ�ス�ス�ス�ス�コ�ス�ス�ス�ス

TechTarget鬩幢ス「�ス�ァ�ス�ス�ス�ク鬩幢ス「隴趣ス「�ス�ス�ス�」鬩幢ス「隴乗��ス�サ�ス�」�ス雜」�ス�ヲ 鬮ォ�エ�ス�ス�ス�ス�ス�ー鬯ィ�セ�ス�ケ�ス縺、ツ€鬯ョ�ォ�ス�ェ髯区サゑスソ�ス�ス�ス�ス�コ�ス�ス�ス�ス

ITmedia マーケティング新着記事

news023.png

「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2025年5月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...

news025.png

「マーケティングオートメーション」 国内売れ筋TOP10(2025年5月)
今週は、マーケティングオートメーション(MA)ツールの売れ筋TOP10を紹介します。

news014.png

「サイト内検索」&「ライブチャット」売れ筋TOP5(2025年4月)
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。