｢詳しい人がいない｣で済ませてはいけない　中小企業が外部のセキュリティサービスを使う前に決めておくべきこと

会議でセキュリティ対策の話になると、「うちにはセキュリティに詳しい人がいないから」という流れになり、話が自然消滅してしまうという経験はないでしょうか。採用しようにも応募は来ず、今いる社員に任せる余裕もないため、後回しにするほかないと感じている経営者は少なくないでしょう。

ですが、専門家がいないことと、守りが手薄なままでいることは別の問題です。外部の監視や診断のサービスを使えば専門家を雇わなくて済みますが、契約しただけで安心できません。夜中に「怪しい通信を見つけました」と連絡が来ても誰も何も対応できないため、セキュリティ体制が無い会社でも最低限事前に決めておかなくてはいけないことがあります。

今回はSOC、脆弱性診断、CSIRT支援といった外部サービスをどう使い分け、何を社内に残すべきかを経営の目線で整理します。

人材不足は"当面続く"前提で考える

足りない人材を採用で埋めるのは、大企業でも簡単ではありません。セキュリティ専門家の国際団体ISC2が発表した人材調査では、日本の回答者の42%が「必要な人材を確保できない」と答え、世界平均の29%を大きく上回りました。「魅力的な給与を提示できていない」という回答も39%と、世界平均の25%より高くなっています。専任の担当者を置く余裕のない中小企業にとって、条件はさらに厳しいと言えるでしょう。

そう考えると、外部の専門家の力を借りる前提で対策を検討するのが現実的です。MM総研が国内企業のセキュリティ担当者1000人に聞いた調査では、約8割が自社の人材不足を認識しており、対策の進め方は「外部委託中心」が39%、「外部委託と内製を半々」が28%と、外部を前提にする回答が7割近くを占めています。