中小企業であれば、相談窓口、異常の監視、初動対応の支援、簡易なサイバー保険をまとめて提供する「サイバーセキュリティお助け隊サービス」も選択肢になります。基本の類型では、ネットワークを監視する型で月額1万円以下、パソコンごとに監視する型で1台あたり月額2000円以下が価格の要件とされています（ScanNetSecurity）。対象を広げるほど費用は上がるため、見積もりは監視や診断の対象（何台のパソコンか、どのシステムか）を決めてから取ると、各社を同じ条件で比べられます。
任せきりにすると"知らせ"が届いても止まらない
外部を使えば安心とは限りません。異常に気づく人と止める権限を持つ人が別だと、通知が届いても止める判断が遅れがちです。2013年に米小売り大手ターゲットで約4000万件のカード情報が盗まれた事件では、同社のシステムを24時間見張っていた別拠点のチームが不審なプログラムの警告を受けてアメリカの本社に知らせていました。
ところが本社はその警告に基づいて動かなかったと、米メディアのGovInfoSecurityが報じています。同社は「評価したうえで対応した」と説明していますが、同じ会社の中でさえ知らせが止める判断につながらなかったのですから、社外の業者が見張る場合はなおさら注意が要ると言えるでしょう。見張りを外部に任せても、知らせを受け取り、何を止めるかをすぐに決める態勢は自社で整えておく必要があります。
もう1つの落とし穴は、誰が何を担当するのかがあいまいなまま任せてしまうことです。21年10月にランサムウェアの被害を受けた徳島県のつるぎ町立半田病院では、VPN装置の弱点を突かれて侵入されたとみられています。同院の「コンピュータウイルス感染事案有識者会議調査報告書」は、IT部門を持たない病院がセキュリティ対策を事業者やベンダーに「頼らざるを得ない状況」にあったと述べています。電子カルテの事業者と機器を設定した事業者の間では担当範囲の認識が食い違っており、報告書によれば、設定の責任とその後のサポートは「完全に宙に浮いていた」のです。
少ない人数で地域の医療を支える現場では、外部に頼るのは自然な成り行きであり、報告書もそう認めています。問題は頼ったことではなく誰がどこまで担うのかを決めないまま任せていた点にあります。「パソコンのことはいつもの業者に任せている」という会社でも、その業者との契約にセキュリティの更新まで含まれているかは、一度確かめておく価値があります。
外部を生かすための「3ルール」
外部サービスを生かすためのルールは、「判断する人を決める」「任せる範囲を書き出す」「報告を経営が聞く」の3つです。核になるのは1つ目であり、残りの2つはそれを支える工夫です。
1つ目は社内に「判断する人」を1人決めることです。外部から「怪しい通信を見つけた」と連絡が来たとき、ネットワークを切るか、システムを止めるかを夜間や休日でも決められる人を指名しておきます。専任である必要はなく、総務部長や経営者自身が務めてもかまいません。とはいえ、夜中に突然「切りますか」と聞かれても、権限を渡されただけでは決めきれないものです。パソコン1台ならその人がすぐに切り離してよい、工場や店舗のシステムを止めるときは社長が決める、というように、止める範囲が広がるほど決める人の役職を上げる基準を平時に決めておくのが有効です。
※ログイン後、コメント入力が可能です。