ビジネスリスクを防ぐためのセキュリティベンダーとの付き合い方

今回は「ビジネスリスクを防ぐためのセキュリティベンダーとの付き合い方」についてご紹介します。

関連ワード (CIO/経営、ビジネス視点で分かるサイバーのリスクとセキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 本連載は、企業を取り巻くサイバーセキュリティに関するさまざまな問題について、ビジネスの視点から考える上でのヒントを提供する。

 ランサムウェアの被害に遭う中で運用・保守の責任範囲のあいまいさが問題になったり、流行り言葉に便乗した新しいツールの導入ありきの販促活動が行われたりするなど、製品・サービスの開発元からシステムインテグレーター(SIer)、販売会社に至るベンダーの在り方や活用の仕方がセキュリティの領域で問われる機会が増えている。そこで今回は、ユーザー企業が自組織のこれからのセキュリティを考える上で、ベンダーをどのような観点で評価するべきか、ベンダーとどのように付き合っていくべきかを考えてみたい。

 大阪急性期・総合医療センターで2022年10月に発生したセキュリティインシデントに関する調査報告書が公開された。ここでは運用・保守におけるユーザーとベンダーの責任分界点や、役割分担が契約段階からあいまいだったことが問題点の1つとして挙げられている。2021年に発生した徳島県つるぎ町立半田病院でのセキュリティインシデントでも同様に、ユーザー責任はもちろんだが、運用・保守業者の責任範囲の問題も調査報告書で指摘されている。国内ではセキュリティの領域はもちろんIT全般での慢性的な人材不足から、運用・保守や監視をマネージドサービス事業者(MSP)に委託することが広く一般的となっている。しかしながら、特にユーザー側の視点に立った時に、委託元と委託先の責任範囲や役割分担が明確になっているケースがどれだけあるだろうか。

 システムが、自組織の業務で活用する、あるいは顧客や社会にサービスを提供するものである以上、その安全性の確保はユーザー側の責任だが、ITやセキュリティに関する専門知識がユーザー側になければ、医療系や制御系のシステムやサービスの導入に当たってセキュリティの必要性を判断したり、体制を含めた具体策を自ら整備したりすることは難しくなる。

 逆に、ベンダーの側に担当事業部門とセキュリティ事業部門の社内連携や、他ベンダーとのようなエコシステムの中での連携がないことで、セキュリティに関する提言や提案が行われず、ユーザー側での業務システムが運用に入ることも多々ある。ユーザーが自前で対策ができなければ、危険度や緊急度が高いリスクが残存し、結果として重大な事故につながる可能性が高くなる。

 近年は、委託先や取引先といったサプライチェーンに起因したセキュリティインシデントが問題になっており、脆弱性のようなソフトウェアサプライチェーンリスクの問題も顕著になっている。緊急度や危険度の高い脆弱性の場合には、ベンダーだけでなく業界団体や、場合によってはメディアからも注意喚起される機会が増えている。

 ユーザーが自身で速やかに修正プログラムを適用できることが理想ではあるが、ベンダーの運用・保守契約の範囲内であれば、適用の頻度や対応スピードなど具体的な要件が明確になっている必要がある。実際問題、運用・保守契約の中でその役割がどちらにあるか、そして、要件がどうなっているかをユーザー自身が把握していないケースも多いのではないだろうか。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
Istio 1.10リリース。スケーラビリティの向上やカナリアアップデートを容易に
Docker / コンテナ / 仮想化
2021-06-01 06:27
パイプドビッツ、ローコード開発プラットフォームの新バージョンをリリース
IT関連
2022-05-27 01:38
エムティーアイ、経費/交通費精算をデジタル化–申請にかかる時間が約7割減
IT関連
2022-03-19 01:46
五輪ツイート「応援」急浮上 「中止」「コロナ」開会式を機に一変
IT関連
2021-07-30 07:20
顧客体験を改善するには技術者が人と話すべき
IT関連
2023-05-25 19:46
自動運転トラックのT2、シリーズAラウンドで35億円の資金調達を実施
IT関連
2023-09-02 21:09
VSCodeで日本語の音声入力が可能に、Copilotがコードに合った変数名を提案など新機能。2024年2月のアップデート
Microsoft
2024-03-06 12:41
規格外バナナでウエットティッシュ、循環型社会を目指すファーメンステーションが総額2億円調達
バイオテック
2021-03-16 17:30
ソフトバンクがSPACをさらに2社申請
その他
2021-02-08 12:19
全脅威の53%はウェブ以外のプロトコルから–パロアルトネットワークス
IT関連
2021-04-13 05:50
LINE WORKS、freee人事労務との連携アプリに「申請承認機能」を追加
IT関連
2024-02-28 09:07
ZVC幹部が説く、コミュニケーションプラットフォームとして進化するZoom
IT関連
2023-12-28 21:38
【レビュー】メルセデスAMGのオール電動EQSと2022年型SL Roadsterを徹底検証
IT関連
2022-01-21 09:30
NXHDとNEC、遠隔搬送ソリューションを共同開発–物流現場のDX推進へ
IT関連
2024-09-06 21:10