「ITアウトソーシングなら安全」は幻想？ 法律事務所がはまった“わな”とは：セキュリティによくある5つの誤解【第5回】

IT運用のアウトソーシングはさまざまなリスクを招きかねない。英国の法律事務所もそのわなにはまってしまった。同社の失敗から何を学ぶべきか。

[Neil Langridge，TechTarget]

　自社に十分な人的リソースがないために、IT運用を第三者にアウトソーシングする組織は少なくない。その際に注意しなければならないのは、セキュリティの責任範囲だ。IT運用をアウトソーシングすることで、セキュリティ確保の全て責任も任ってもらえると考えるのは誤解だ。第三者の力を借りつつセキュリティを確保するためのポイントは何か。本稿はセキュリティの5つの誤解のうち、5つ目を紹介する。

5．「ITをアウトソーシングしているから安全」

併せて読みたいお薦め記事

連載：セキュリティによくある5つの誤解

• 第1回：「うちは攻撃されない」の誤解こそが“被害案件の元凶”だった？
• 第2回：「マルウェア対策ソフトがあるから安全」の過信が招く“思わぬ事故”とは
• 第3回：セキュリティ予算がないなら「高額＝安全」の呪縛を解いて出直すべし
• 第4回：「盗まれるデータはない」と思い込む企業は“あれ”を見落としていないか？

セキュリティにまつわる「誤解」とは

• セキュリティ製品を爆買いすればセキュリティが高まると勘違いしていないか？
• 新発見の脆弱性どころか「古い脆弱性」が危ない当然の理由

　ITのアウトソーシングは業務効率の向上をはじめとしたさまざまなメリットをユーザー組織にもたらす。だがアウトソーシングをする場合も、セキュリティの責任はあくまでユーザー組織側にある。ITのアウトソーシングを決める前、MSP（マネージドサービスプロバイダー）やMSSP（マネージドセキュリティサービスプロバイダー）が提供するサービスの責任範囲を念入りに確認しよう。クラウドストレージに重要なデータを保存する場合も、同様の確認が必要だ。

実例

　リーズの小規模法律事務所は、システム管理を外部のITサービスプロバイダーに委託していたが、セキュリティの責任範囲を明確には確認していなかった。その結果、ソフトウェアのパッチ（修正プログラム）が未適用であることが原因で、システムがマルウェアに感染して停止した。復旧に多額の費用を要したという。

対策

• 責任範囲の明確化
  • システム管理に関わっている全ての第三者に対し、セキュリティの範囲を詳細に把握する。
• 監査の実施
  • セキュリティの実施状況について認識に相違がないかどうかを確認するために、セキュリティ対策を定期的に評価する。

セキュリティを強化するには

　ここまでにセキュリティにまつわる5つの誤解を紹介してきた。以下では、規模や予算を問わず、全ての組織が実行できる基本的なセキュリティ対策を紹介しよう。

• 多要素認証（MFA）
  • 認証情報が流出しても不正アクセスを防げるように、業務用アカウントのログインにMFAを導入する。
• 定期的なアップデートとパッチ適用
  • 攻撃者に悪用される脆弱（ぜいじゃく）性を減らすために、システムを常に最新の状態に更新する。
• セキュリティ意識向上のトレーニング
  • フィッシングメールの不審なリンクをクリックしないよう、脅威を認識するためのトレーニングを従業員に提供する。
• パスワードマネジャーの利用
  • アカウントごとに異なる強固なパスワードを設定し、パスワードマネジャー（パスワード管理ツール）で安全に管理する。
• 定期的なバックアップ
  • 重要なデータを定期的にバックアップし、バックアップシステムの信頼性を定期的に検証する。
• ネットワークセグメンテーション
  • 機密データを取り扱う重要なシステムを安全性の低いネットワークから分離し、侵害時の影響を最小限に抑える。

---

　セキュリティに関する誤解や思い込みは油断につながり、ユーザー組織を重大なリスクにさらす可能性がある。誤った認識を修正し、自社のセキュリティ戦略を確立することで、巧妙化する脅威に対処しよう。被害発生後の復旧コストと比較すれば、事前にセキュリティ対策の強化を図ることははるかに安価だろう。

Computer Weekly発　世界に学ぶIT導入・活用術

米国Informa TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。