.png)
セキュリティ対策評価制度「何から考えるか」を間違えないために
- ITワークラボ
- 2 時間前
- 読了時間: 4分
経産省の「セキュリティ対策評価制度」という言葉を聞いて、
多くの中小企業の経営者や担当者は、こんな印象を持つのではないでしょうか。
何だか難しそう
高度なセキュリティ対策が必要そう
専門のIT担当がいないと無理そう
ですが、最初にお伝えしておきたいことがあります。
この制度は、セキュリティを“強化させる”ための制度ではありません。
この制度が見ているのは「技術」ではない
誤解されがちですが、セキュリティ対策評価制度で主に見られているのは、
最新のセキュリティ製品を使っているか
高度な防御ができているか
ではありません。
評価されるのは、もっと基本的な部分です。
誰が判断するのか決まっているか
何を守るべきか整理されているか
事故が起きたとき、最低限どう動くか考えられているか
つまり、「ITやセキュリティを、経営として扱えているか」が問われています。
なぜ「評価制度」という形を取っているのか
この制度の背景には、はっきりした目的があります。
それは、中小企業に“高度な対策”を求めることではなく、
取引先が安心して仕事を任せられる最低ラインを示すことです。
実際、多くの企業では、
元請・取引先から「セキュリティ、何かやっていますか？」と聞かれて困る
何をどこまでやればよいのか分からない
結果として、対応が後回しになる
という状態が起きています。
評価制度は、そうした企業に対して「最低限、ここまでは整理しておきましょう」という共通言語を作るための仕組みです。
セキュリティ対策＝ツール導入、ではない
もう一つ、よくある誤解があります。
「評価制度に対応するなら、EDRやSOCなどのツールを入れなければいけないのでは？」
確かに、ツールが有効な場面もあります。
しかし、多くの中小企業では、
ルールが決まっていない
役割が曖昧
運用が続かない
という状態のままツールだけを導入し、
結果的に使われなくなるケースが少なくありません。
評価制度が本当に求めているのは、ツール以前の「整理」です。
この制度は「背伸びしない」ための指標
セキュリティ対策評価制度は、「できていない企業を責める」ためのものではありません。
今の会社の規模
IT担当者の有無
業種・業務内容
こうした現実を踏まえたうえで、
無理なく、続けられる状態にすること
その第一歩として使われるべき制度です。
ITワークラボとして考えていること
ITワークラボでは、セキュリティ対策評価制度を
「評価を取るための制度」や「対策を急がせる仕組み」としては捉えていません。
この制度は、
自社のITやセキュリティが、今どの位置にあるのか
判断や役割が、どこまで整理できているのか
無理のある対策を選ぼうとしていないか
を落ち着いて確認するための一つの“物差し”だと考えています。
特に、IT担当者がいない、または兼務で運用している会社では、
「何から考えればいいのか分からない」状態が当たり前です。
その状況で、制度やツールの話だけが先行すると、現場とのズレが生まれやすくなります。
だからこそITワークラボでは、
現状を言葉にする
判断の軸を整理する
続けられる形に整える
この順番を何より大切にしています。
評価制度は、その整理を進めるための一つのきっかけにすぎません。
今後もこのブログでは、セキュリティ対策評価制度に限らず、
IT担当者がいない会社でも無理なく考えられるIT・セキュリティの向き合い方について、
現場目線で発信していく予定です。
もし、
自社の状態を一度整理してみたい
何が足りていて、何を後回しにしていいのか知りたい
制度やセキュリティの話を、もう少し噛み砕いて聞きたい
と感じることがあれば、気軽にご相談ください。
「まだ何も決めていない段階」でも問題ありません。
考えを整理するところから、一緒に進めていきましょう。
コメント