【何種類？】企業のセキュリティツール、どれくらい使ってますか？【ちゃんと使えてる？】

「これだけ入れておけばいいっていうセキュリティツール教えてください！」
 
情報セキュリティの末端でお仕事をしていると、多かれ少なかれこういった質問を受けることがあります。 確かに、世の中には色々な情報セキュリティツールが溢れていて、 何を導入したらいいのかよくわからないことが多々あります。 

これが一昔前の個人のPCやスマホなら、「とりあえず統合セキュリティツールを入れておいてください」とだけ答えていました。ですが最近では、やれ多要素認証ツールだ、パスワード管理ツールだ、VPNだ、と種類が増えたことで、それだけは足りない場合があります。 
それが企業のセキュリティ対策ともなれば、「これ1つでオールOK！」とはなかなか言いにくい状況にあります。 

では、なぜ、情報セキュリティ対策ツールが簡単に一つに決められないのかと言うと、
それは 「情報セキュリティ対策が穴のあいた薄い板でより大きな穴を塞ぐ作業」だからです。

どういうこと？と思われた方も多いと思います。 
まず、「大きな穴」って何か？から説明していきましょう。

情報セキュリティ対策は穴のあいた薄い板 

ネットワークにもつながない、外部からデータを持ち込むこともない(出来ない)、外部にデータを持ち出すこともない(出来ない)、 電源が落ちても何の支障もない、なんなら壊れて使えなくなっても誰も困らない。 

そんなITシステムがあれば、別ですが、 世の中に存在するITシステムは、ネットワークにもつなぎますし、外部からデータを入力しますし、外部へデータを持ち出しますし、 電源が落ちたら困りますし、システムが停止したら多くの人が迷惑します。 この「ネットワークにつなぐ」「外部からデータを持ち込む」ということが、大きな穴があく原因なのです。 

ネットワークにつなぐ以上、ネットワークを原因とするトラブルとは無縁ではいられません。 それは、回線の中断かもしれませんし、不正アクセスかも知れませんし、さらにランサムウェアに感染させられることかもしれませんし、機密情報の流出かもしれません。 

外部からデータを持ち込む、ならば、マルウェアが侵入するかもしれませんし、その持ち込める経路次第では不正アクセスさせるかもしれません。 外部と接続するということは、つまり、リスクという大きな穴が開く、ということでもあるのです。

そして、その大きな穴を塞ぐために、セキュリティ対策ツールを使うのですが、セキュリティ対策ツールとて、万能ではありません。 それぞれのツールは専門とする分野がありますし、その専門分野ですら得手不得手があり、その不得手の部分が小さな穴になります。 つまり、ITシステムを便利に使うために開いた大きな穴を、補い合って塞ぐという行為が、「セキュリティ対策」になるのです。 

しかし、複数の板に穴が開いていたとしても、穴の位置が違えば、重ねることで穴の大きさは小さくなります。

たとえば、対策Aに開いている穴

対策Bに開いている穴

それぞれに開いている穴は大きめですが、この板を重ねあわせると

穴の大きさは小さくなります(2つの円が重なった部分が残った穴) 

ここまでくれば、あとは、わかりますね？ 
穴の大きさや位置(弱点)が異なっている対策を重ねることで、実質的に穴があいてない状態にしていくこと、すなわち、組織のセキュリティ対策を強固にしていくことが出来るのです。 これが「情報セキュリティ対策は穴の開いている薄い板」という所以です。 

ここでは、話を簡単にするために、穴は1つしかあいてないことになっていますが、 実際には穴の数は1つではないことも多々ありますし、穴の大きさも形も組織毎に様々です。 そのため、自分の組織にどんな穴がどんな風にあいているのかを把握することが非常に重要になってきます。 

そして、この穴の形や穴の数を確認する作業のことを別の言葉で「リスクアセスメント」と言います。皆さんの組織にはどんな穴がどれくらいあいているでしょうか。皆さんの組織にはどんな穴がどれくらいあいているのかを確認するために、リスクアセスメントを実施してみませんか？ 

穴を本当に塞いでいる？
～セキュリティツールの約6割しか有効化されていないとのレポート有～

ところで、 この穴を塞ぐための重要なセキュリティ対策に関してですが、 非常に興味深いレポートが公開されているのをご存知でしょうか？ 

Fastly社が公開したレポートによれば

• 採用したサイバーセキュリティツールの約 6 割（世界平均：61% 、日本：55%）しか完全に有効化/デプロイされていないことが判明しました
• 約 4 割（世界平均：42%、日本：38%）のセキュリティツールが同じ脅威への対策に重複して使用されています

引用元  <https://www.fastly.com/jp/press/press-releases/fighting-fire-with-fire-global-cybersecurity-report>  

有効化されていない、デプロイされていない、とはどういうことでしょうか？

簡単に言うと、クーラーを買ったのに、スイッチを入れてないから部屋が冷えてこない、というような状態です。 いくら高性能のクーラーを買っても、スイッチを入れなければ部屋が冷えないのは当り前です。 これを、先ほどまでの話に例えると、穴を塞ぐための板を買ったのに、取り付け忘れている状態になっている、と言うことです。 つまり、大きな穴が開いたまま、ということです。 

同じ脅威への対策に重複して使われています、とはどういうことでしょうか？

これは、同じ場所に穴が開いた板を何枚も重ねているということです。 つまり、穴の大きさは全く小さくなっていません。 それだけでも大問題ですが、企業にとって見逃せないのは、 その板を保持するために決して安くはないお金を払い続けているということです。 

セキュリティコンサルティングサービスのご紹介

効率的、かつ、有意義なセキュリティ対策を推進するには、セキュリティのプロフェッショナルによるコンサルティング導入がおすすめです。弊社では以下のようなコンサルティングサービスをご提供しておりますので、ぜひご検討いただけると幸いです。

リスク対策プランニング（リスクアセスメント）

リスクを見える化し、優先的に対策すべき項目と方法を明らかにするサービスです。システムとそれに関わる組織に対するリスクをヒアリングベースで洗い出し、セキュリティ対策の方針、優先度を提案します。どのように対策を進めていくべきかの指針とすることができるため、セキュリティ対策をどのように進めてよいかわからないという方にまず最初におすすめしています。

ログ設定診断

弊社ではセキュリティ事故発生時の事故調査も承っておりますが、事故発生時に必要なログがないので調査ができないというケースがあります。本サービスでは貴社におけるログの取得状況を確認し、適切なログ取得を可能とするための改善策をご提案させていただきます。ログを活用していくことで、下記のような課題も解決することができますが、本サービスはログ活用の第一歩として現状把握をご支援するサービスです。

セキュリティに関するちょっとしたお悩みごとはございませんか？
無料相談も承りますので、ぜひお気軽にお問い合わせください。