レオンテクノロジー相談役で東京電機大学サイバーセキュリティ研究所客員研究員の阿部恭一氏が、MSSやフォレンジック調査を活用する際の役割分担や自社での体制整備について解説した。
IT人材不足が深刻化する中、セキュリティ対策を外部の専門企業にどこまで委ねるべきか――。
セキュリティコンサルティング企業レオンテクノロジー相談役で東京電機大学サイバーセキュリティ研究所客員研究員の阿部恭一氏は、企業のセキュリティ運用管理を社外のセキュリティ企業などが請け負うMSS（Managed Security Service）や、フォレンジック調査を活用する際の勘所と、グループ会社への支援体制の整え方を解説した。
阿部氏はまず、事業会社の本業はあくまで「経営の安定化、維持発展拡張」であり、サイバーセキュリティはそれを阻害する脅威の1つに過ぎない、と前提を整理する。一方攻撃側はプロ集団であり、社内の一部門だけで対抗するには体制もスキルも不足しがちだ。そこで、MSSが味方として「伴走」することで、体制を補完できると同氏は説明する。
ただし「役割分担を整理せずに丸投げすると、期待効果は得られません」と阿部氏は強調する。では、MSSに期待してよい領域は何か？
阿部氏が挙げるのは、セキュリティ機器の扱いやアラートの読解、最新の攻撃手法の分析、導入済み機器の有効性の恒常的な調査、アラートに対する一般的なリスク測定だ。一方、業務インパクトを勘案したトリアージ、社内関係部門への説明や対応交渉、ベンダーコントロール、経営層へのエスカレーションなどは、事業会社しか担えない業務だ。
「業務インパクトの判断をMSSに求めるなら、その要員に自社の業務内容を知ってもらう必要がある。新人を1人前に育てるのと同じだけの時間がかかる」と阿部氏は指摘する。
実務上の合意事項として、阿部氏は4点を挙げる。第1に、事業会社の業務に合わせたアラートのチューニングだ。これによりアラート量が削減され、セキュリティ担当への通知（コール）の負荷が下がる。第2に、アラートの適用判断プロセスにおけるMSS側との合意と協力。第3に、エスカレーションレベルとSLA（サービスレベル契約）の取り決め。第4に、一次対応の範囲と役割分担の明確化だ。「両社が二人三脚をするように足を合わせないと、一緒に走れません」と阿部氏は述べる。
MSSの最大のメリットとして阿部氏が強調するのは「再学習コストの削減」だ。セキュリティ製品は5年も経てば大きく入れ替わる。事業は変わらないのに、機器が変わるたびに事業会社側でアラートの読み方をゼロから学び直すのは非効率だ。最新の攻撃傾向をインテリジェンスで追い続けるのも「かなりのコストがかかる」。この領域こそMSSの得意分野だと阿部氏は強調する。
一方、MSSの利用方針については将来像を描いた上で判断すべきだと阿部氏は述べる。選択肢は大きく3つある。MSSを使い続ける、委託範囲を段階的に自社へ移す、全て自社化する、だ。
全て自社化する場合のリスクとして、阿部氏は以下4点を挙げる。
そこで阿部氏は、「深入りしない選択も現実的」だと述べる。さらに、自社の給与体系やキャリアパスが従業員にとって納得できるものかを再確認した上で計画を立てるべきだという。
まずMSSが報告する内容を理解し、社内プロセスを自力で回せるようにするのがファーストステップだ。「報告内容を理解し、影響が小さい段階でインシデントを止められれば被害は小さく済む。経験によって知識が蓄積され、自信がつくはずだ」と阿部氏は説明する。
脆弱（ぜいじゃく）性診断とフォレンジック調査の活用法についても阿部氏は触れる。
脆弱性診断について阿部氏は、報告書に記載される高度・中度・軽度・インフォメーションの各リスクに「どこまで対応すべきかの判断基準が自社内にあるか」を問いかける。中度や軽度の指摘であっても、自社の他の防御装置の効果によって実際のリスクは低い場合もある。逆にインフォメーション（情報提供レベル）であっても「企業としての信頼性の低下につながる項目が隠れている場合がある」と注意を促す。いずれも外部の診断者には判断できないため、事業会社自身が評価すべき領域だ。
さらに、リスクを経営者に説明した上で「経営者承認のもとで」許容判断を行う体制が必要だと述べる。プロジェクトごとに判断がばらつくことのないよう、社内基準を整備することも重要だ。
フォレンジック調査について阿部氏は、「フォレンジック調査の結果は、自社で調査した結果の答え合わせとして利用すべきだ」と踏み込んだ提言をする。「何だかよくわからないので調べて、という雑な依頼」では時間がかかり、並行して進めるインシデント対応が遅れる恐れがあると警告する。
具体的には、自社内で仮説を立てた上で、以下8項目をフォレンジック調査会社への要求事項として明示すべきだと阿部氏は提案する。
「フォレンジックで100％真実が解明できることはほとんどない。仮説を立てて検証することで、より真実に近づける程度だと捉えてほしい」（阿部氏）
親会社やホールディングスの立場からグループ会社やサプライチェーンのセキュリティを支援する場合はどうすればいいのか。阿部氏は、「自分が伴走者として助ける側に回る」場面、インシデント発生前に支援先であらかじめ整備しておくよう依頼すべき6つの確認事項を示す。
「上記が決まっていないまま飛び込んでも、誰に何を頼めばいいのか分からず何もできなくなる」（阿部氏）
インシデント発生時の支援項目としては、体制構築、資産管理・構成確認、現行防御態勢の有効性確認、報告書作成、初動対応、インシデント対応作業、対策の有効性確認、プロジェクトマネジメント、経営者へのコスト説明、再発防止策、業務再開判断の11項目がある。それぞれについて「支援を受ける側」と「支援する側」の役割を事前に合意しておくことが不可欠だ。例えば、体制構築は支援を受ける側が進め、体制のモデル提示は支援する側が担う。報告書は支援を受ける側が作成し、支援する側がレビューする、といった分担だ。
阿部氏は最後に、AI時代の攻防戦にも触れる。「サイバーセキュリティにおいても今後はAIを使った攻防戦が予測される。しかし、それを使いこなすのは人間だ」と述べ、プロとともに走る体制こそが持続可能なセキュリティの基盤になるとの見方を示す。
※本稿は、2026年3月9日に開催された「ITmedia Security Week 2026 冬」のセッション「伴走型セキュリティの実践知―プロ集団を味方につけ、自社とサプライチェーンを守る」の内容を記事化したものです。
Copyright © ITmedia, Inc. All Rights Reserved.
瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓
MFA（多要素認証）を入れたから安心という常識が崩れ去っている。フィッシング集団「Tycoon2FA」が摘発されたが、脅威が完全になくなったというわけではない。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
