セキュリティ、どこまでやれば十分? 会社の規模で決める「合格ライン」の引き方

チェックリストを1つ潰すたびに、次のチェックリストが目に入る。

「これもやった方がいい」「あれもまだ」。セキュリティの記事を読めば読むほど、安心するどころかやることリストだけが伸びていく——そんな感覚を覚えたことはありませんか。

十分の基準が、どこにも書いていない。だから、どこまでやれば区切りなのか、誰も教えてくれない。

先に言っておきます。セキュリティに「完璧」はありません。どれだけ手を尽くしても新しい手口は次々出てきますし、これで永久に安全という状態は存在しません。

ただし、「今の会社なら、ここまでで一旦十分」という区切りは引けます。その位置は会社の規模・扱っているデータの重さ・止まったときに困る度合いで決まります。全社共通の正解を探し続ける必要はありません。この記事は、あなたの会社の状態から、その区切りをどこに引けばいいかを渡します。

TL;DR

• セキュリティ対策に終わりはない。だからこそ全部やろうとすると不安は減らず増える
• 会社規模・データの機微度・停止時の損失規模の3つで、今必要な「合格ライン」は決まる
• ラインを決めたら、それ以上は次の見直しの宿題にしていい。今日すべてをやる必要はない
• 人数が増えた・扱うデータが変わった・止まったときの影響が変わった、そのタイミングだけラインを引き直せば足りる

なぜ、対策を増やすほど不安が増えるのか

チェックリスト記事には、ある逆説があります。1項目クリアするごとに、そのすぐ隣に別の項目が見えてくることです。パスワードを強化すれば次はバックアップ、バックアップを取れば次は多要素認証、それが済めば次はログの保管期間——リストは常に「あと少し」を見せ続けます。終わりを示す記事ではなく、範囲を示す記事だからです。

これは記事の作りが悪いわけではありません。手順記事の役目は「やり方」を渡すことで、「どこで止めていいか」を渡すことではないからです。ところが読む側は、手順を全部消化して初めて安心できると思ってしまいます。結果、リストを読むたびに不安の残量が増えるという、本来の目的と逆の効果が起きます。

もし同じ感覚があるなら、それは注意力が足りないからでも、勉強不足だからでもありません。「どこまでやれば十分か」という基準そのものが、どこにも書かれていなかっただけです。基準がないところで終わりを探せば、迷って当然です。

必要なのは、もっと多くのチェックリストではなく、自分の会社に見合う基準です。次の章でその決め方を渡します。

会社の規模で引く「合格ライン」の目安

以下は「今の会社ならここまでで一旦十分」という目安を、3つの軸——従業員規模・データの機微度・停止したときの影響——で分けたものです。自社に近い行を、まず1つ選んでください。

会社の状態	データの機微度	止まったときの影響	まずここまでの目安
従業員1〜20名程度。個人情報はほぼ扱わない、または少量	低	止まっても数日は取引先に頭を下げられる範囲	基本方針を1枚整備し、OS更新・パスワード・バックアップなど基本の対策を回す
従業員20〜100名程度。顧客・取引先の個人情報を扱う	中	半日〜数日止まると売上や信用への影響が出る	左記に加えて社内規程(対策基準)を整え、サーバー・VPSの初期設定を締め、バックアップを多層化する
従業員100名超、または医療・金融・個人情報を大量に扱う業態	高	数時間の停止でも損害賠償や行政対応に発展しうる	左記全部に加えて、ファイアウォール設計を見直し、外部の専門家によるリスクアセスメントを定期的に入れる

この表は「上の行の会社は対策が甘くていい」という意味ではありません。どの規模の会社にも、今日やり切るべき天井があるという意味です。1行目に当てはまる会社が3行目の対策まで手を伸ばす必要はありませんし、逆に3行目に当てはまる会社が1行目で止まっていいわけでもありません。

自社がどの行に近いかは、次の3つを自分に聞けば大体決まります。

• 従業員は何人か。情シスが自分1人か、チームがいるか
• 預かっているデータに、個人情報・カード情報・医療情報のように扱いが重いものが混ざっているか
• サーバーやシステムが半日止まったら、誰が・どれくらい困るか

基本方針の作り方は情報セキュリティポリシー:中小企業が最低限作るべき3文書、サーバー・VPSの初期設定はVPSを借りたら最初にやるセキュリティ設定10項目、バックアップを含む多層防御の考え方は中小企業のランサムウェア対策、公開範囲の締め直しはサーバーのファイアウォール設計で、それぞれ手順として渡しています。今日どこまでやるかが決まってから、必要な分だけ開けば十分です。

「まずここまで」を決めたら、それ以上は次の見直しでいい

ラインを決めたら、そこから先を今日の宿題にしないという考え方が要になります。

表の該当行までを一通り終えたら、その先の項目は「次の見直しのときに検討すること」として、どこかに書き留めておくだけで足ります。実行しないことに罪悪感を持つ必要はありません。やらないことを決めるのも、判断の一つです。

見直しのタイミングは、カレンダーで決めてしまうのが一番楽です。半年後、あるいは1年後を先に予定に入れておけば、それまでの間は今日決めたラインで安心していて構いません。加えて、次の3つのどれかが起きたときは、予定より前でも見直しの合図にしてください。

• 人数が増えた、または部署・拠点が増えた
• 扱うデータの種類が変わった(新しいシステム導入・新しい個人情報の取得など)
• システムが止まったときに困る範囲が広がった(取引先が増えた・売上依存度が上がったなど)

会議やベンダーとの打ち合わせで「セキュリティ、これで大丈夫なんですか」と聞かれる場面も出てきます。そのときも、「うちの規模だとここまでが基準で、次はいつ見直す予定です」と答えられれば十分です。全項目を暗記している必要はありません。

同じ規模の会社の多くも、どこかで一旦手を止めています。全部を終わらせてから安心するのではなく、自社の規模に見合うところまで終わらせて、区切りとして扱う——それが現実的な進め方です。

まとめ

セキュリティ対策には終わりがありません。だからこそ、終わりを自分で決めていいというのが、この記事で渡したかったことです。

会社の規模・データの機微度・止まったときの影響の3つから、今の自社に見合う行を選ぶ。そこまでを一通り終えたら、それ以上の項目は次の見直しの宿題として書き留めておく。人が増えた、扱うデータが変わった、止まったときの影響が変わった——そのときだけラインを引き直す。この3つのステップで、チェックリストを読むたびに増えていた不安は、区切りのある作業に変わります。

自社のラインが決まったら、次にやることは表の中のリンク先——基本方針、VPSの初期設定、ランサムウェア対策、ファイアウォール設計——から、該当する分だけ選んで進めてください。