セキュリティ対策を計画的に進めるには？ロードマップの作り方を紹介

はじめに

セキュリティ対策の必要性を認識していても、候補が多く、何から手を付けるべきか決められない企業は少なくありません。個別の製品導入や規程整備をその都度判断していると、対策同士の依存関係を見落とし、予算や人員を効果の小さい施策に配分してしまうことがあります。

そこで、複数年の目標と実施順序を示す計画を用意しておくと、個々の対策を一貫した方針で進めやすくなります。この記事では、このような計画を便宜上「セキュリティロードマップ」または「ロードマップ」と呼び、事業内容の把握からリスク評価、施策の優先順位付け、実行計画の管理までの手順を説明します。

対策計画に含める内容

セキュリティ対策の計画に、統一された名称や決まった形式があるわけではありません。この記事で扱う計画には、組織が目指すセキュリティの状態と、そこへ到達するための施策を時系列で整理し、どの事業リスクを下げるのか、誰がいつまでに実施するのか、何をもって完了とするのかを記載します。

ロードマップがあると、経営層は対策の目的と投資時期を判断しやすくなり、実務部門は前提となる施策を順番に進められます。一方で、詳細な計画を長期間固定すると、事業や脅威の変化に追従できないため、全体の方向は年単位、具体的な実行内容は四半期単位で管理する方法が現実的です。

事業内容と守る対象を把握する

ロードマップ作成の起点は、セキュリティ製品の比較ではなく、会社がどのように価値を生み出しているかを理解することです。主要なサービス、顧客との契約、売上を支える業務、法令上の義務を確認すると、停止や情報漏えいが事業へ与える影響を具体的に説明できます。

次に、重要な業務を支えるシステム、データ、端末、外部サービス、委託先をたどります。経営層と事業部門へのヒアリングを行い、「このシステムが一週間停止したら何が起きるか」「この情報が漏えいしたら誰にどのような影響が及ぶか」を確認すると、資産台帳だけでは見えない重要度を把握できます。

同じ顧客管理システムでも、営業活動の補助に使う会社と、サービス提供そのものに使う会社では、停止時の影響が異なります。そのため、一般的な重要資産の一覧を当てはめるだけでなく、自社の事業とのつながりを確認する必要があります。

大きなリスクから対策する

守る対象を整理したら、想定される脅威、現在の弱点、発生した場合の事業影響を組み合わせてリスクを評価します。発生可能性と影響度を基準にすると比較しやすくなりますが、法令違反や事業継続に関わる影響は、発生頻度が低くても経営判断の対象に含めます。

優先するのは、実施しやすい対策ではなく、事業にとって大きなリスクを現実に下げる対策です。たとえば、基幹サービスの管理者アカウントがパスワードだけで保護されているなら、多要素認証や権限の見直しは優先度が高くなります。復旧手段がなく停止の長期化が見込まれるなら、バックアップの取得だけでなく、復元テストまで計画に含めます。

ただし、大きなリスクに複数の対策が必要な場合は、前提関係を考慮して順序を決めます。端末の監視を強化する前に管理対象の端末を把握する、脆弱性の修正期限を定める前にシステムの所有者を明確にするなど、後続の運用を支える施策を先に実施します。

現在地と目標の差を整理する

優先リスクが決まったら、既存の対策がどこまで機能しているかを確認します。規程や製品の有無だけで判断せず、責任者、運用頻度、対象範囲、実施記録まで確認すると、「導入済みだが一部の端末が対象外」「手順はあるが訓練していない」といった課題を見つけられます。

現在の状態と目標との差が、ロードマップへ載せる施策の候補になります。各施策には、対応するリスク、責任者、期限、必要な予算、前提となる施策、完了条件を設定し、単に「EDRを導入する」のではなく、「業務端末の95％以上へ展開し、検知時の担当者と初動手順を決める」のように運用可能な状態を表します。

ガイドラインを参照して漏れを確認する

自社の状況だけで施策を洗い出すと、担当者が経験したことのないリスクや基礎的な対策を見落とす可能性があります。そこで、外部のガイドラインを参照し、現在地の評価と施策候補の確認に使います。

CIS Controls

CIS Controls v8.1は、組織をサイバー攻撃から守るための18の対策を、優先順位を意識して整理したガイドラインです。端末やソフトウェアの把握、データ保護、アクセス制御、ログ管理、インシデント対応など、実務に落とし込みやすい項目が示されています。

CIS Controlsには、組織のリスクと利用可能な資源に応じて対策を段階化したImplementation Groupsがあります。すべての組織が起点とするIG1は「essential cyber hygiene」と位置づけられ、IG2、IG3へ進むほど対象となる対策が増えます。最初から全項目を一律に導入するのではなく、自社の大きなリスクに対応する項目を優先しつつ、基礎対策の漏れをIG1で確認する使い方が適しています。

NIST CSFとIPAのガイドライン

NIST Cybersecurity Framework 2.0は、Govern、Identify、Protect、Detect、Respond、Recoverという六つの機能でセキュリティリスク管理の成果を整理しています。現在と目標の状態をプロファイルとして比較できるため、経営層への説明や計画全体の抜けを確認する用途に向いています。

国内の中小企業には、IPAの中小企業の情報セキュリティ対策ガイドライン 第4.0版も参照できます。経営者が認識すべき指針と、社内で対策を進める手順が分かれているため、専任担当者が少ない組織でも役割を整理しやすい構成です。

ロードマップへ落とし込む

施策の候補がそろったら、リスク低減の大きさ、実施に必要な期間、前提関係、担当部門の負荷を踏まえて実施時期を決めます。次の表は一般的な構成例であり、実際の順序は自社のリスク評価に応じて入れ替えます。

複数年のロードマップでは、遠い将来ほど施策を大きな単位で表します。直近の四半期だけを具体化し、経営計画、システム更改、法令、脅威の変化に合わせて少なくとも四半期ごとに見直すと、計画が現状から離れるのを防げます。

進捗ではなくリスクの変化を確認する

ロードマップの運用では、施策の実施件数だけで進捗を評価しないことが大切です。多要素認証の適用率、重大な脆弱性を期限内に修正した割合、復元テストの成功率、インシデント対応訓練で判明した課題の改善状況など、リスクが実際に下がったかを確認できる指標を設定します。

事業部門や経営層との定期的なレビューでは、期限の遅れだけでなく、想定していたリスクと事業の状況が変わっていないかも確認します。新サービスの開始や重要な委託先の変更があればリスク評価へ戻り、必要に応じて優先順位と予算を更新します。

まとめ

この記事で扱ったロードマップは、事業内容と重要な資産を把握し、事業影響の大きいリスクから対策するための計画です。CIS Controls v8.1、NIST CSF 2.0、IPAのガイドラインを参照すれば、基礎的な対策の漏れや目標とのギャップを確認できます。

ロードマップには、各施策が下げるリスク、責任者、期限、完了条件を記載し、定期的に見直します。この循環を続けることで、製品導入の予定表ではなく、事業の変化に合わせてセキュリティリスクを管理する計画として機能します。

セキュリティ対策の計画づくりにお困りの場合

自社だけで事業リスクの整理や対策の優先順位付けを進めることが難しい場合は、弊社のセキュリティチーム代行サービスをご検討ください。現状の確認から計画の作成、各施策の実行と定着まで、外部のセキュリティチームとして継続的に支援します。