｢詳しい人がいない｣で済ませてはいけない　中小企業が外部のセキュリティサービスを使う前に決めておくべきこと

調査結果で気になるのは、外部に委託している業務として「戦略の意思決定」を挙げた回答が36%で最も多かった点です。専門家の助言を受けること自体は有効ですが、最後に誰が決めるのかがあいまいなまま任せる範囲を広げると、外部活用はかえって危うくなります。外部に任せられるのは見張りや初動の処置までであり、業務を止めるか、被害をどう公表するかといった経営の判断までは引き受けてもらえません。

SOC・診断・CSIRT支援は使う場面で分ける

外部のセキュリティサービスは名前が似ていて違いがわかりにくいものですが、代表的な3つはいつ働くかで分けると整理しやすくなります。

どれから始めるかは、外から見えるものと社内にあるものに分けて考えるとわかりやすいです。インターネットに公開しているウェブサイトや受発注システム、VPN装置（社外から社内のネットワークにつなぐ機器）は攻撃者が直接触れられるため、弱点を先に見つける脆弱性診断が向いています。

一方、社内のパソコンやサーバーは、メールの添付ファイルなどから入り込まれたあとに、いかに早く気づけるかが勝負になるため、SOCサービスが向いています。ただし、どのサービスを選んでも被害は起こりうるため、もしものときに相談できる先だけは最初に確保しておくと安心です。

依頼先を選ぶときは、情報処理推進機構（IPA）が公開している「情報セキュリティサービス基準適合サービスリスト」が手がかりになります。経済産業省の基準に適合すると審査登録機関が判定したサービスを、脆弱性診断やセキュリティ監視・運用など分野ごとに載せたものです。ただし、IPAは掲載したサービスを保証しておらず、載っていることは最低限の目安にとどまります。自社に合うかどうかは、後で紹介する契約の確認で見極めるのがよいでしょう。