ビジネスリスクを防ぐためのセキュリティベンダーとの付き合い方

今回は「ビジネスリスクを防ぐためのセキュリティベンダーとの付き合い方」についてご紹介します。

関連ワード (CIO/経営、ビジネス視点で分かるサイバーのリスクとセキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 本連載は、企業を取り巻くサイバーセキュリティに関するさまざまな問題について、ビジネスの視点から考える上でのヒントを提供する。

 ランサムウェアの被害に遭う中で運用・保守の責任範囲のあいまいさが問題になったり、流行り言葉に便乗した新しいツールの導入ありきの販促活動が行われたりするなど、製品・サービスの開発元からシステムインテグレーター(SIer)、販売会社に至るベンダーの在り方や活用の仕方がセキュリティの領域で問われる機会が増えている。そこで今回は、ユーザー企業が自組織のこれからのセキュリティを考える上で、ベンダーをどのような観点で評価するべきか、ベンダーとどのように付き合っていくべきかを考えてみたい。

 大阪急性期・総合医療センターで2022年10月に発生したセキュリティインシデントに関する調査報告書が公開された。ここでは運用・保守におけるユーザーとベンダーの責任分界点や、役割分担が契約段階からあいまいだったことが問題点の1つとして挙げられている。2021年に発生した徳島県つるぎ町立半田病院でのセキュリティインシデントでも同様に、ユーザー責任はもちろんだが、運用・保守業者の責任範囲の問題も調査報告書で指摘されている。国内ではセキュリティの領域はもちろんIT全般での慢性的な人材不足から、運用・保守や監視をマネージドサービス事業者(MSP)に委託することが広く一般的となっている。しかしながら、特にユーザー側の視点に立った時に、委託元と委託先の責任範囲や役割分担が明確になっているケースがどれだけあるだろうか。

 システムが、自組織の業務で活用する、あるいは顧客や社会にサービスを提供するものである以上、その安全性の確保はユーザー側の責任だが、ITやセキュリティに関する専門知識がユーザー側になければ、医療系や制御系のシステムやサービスの導入に当たってセキュリティの必要性を判断したり、体制を含めた具体策を自ら整備したりすることは難しくなる。

 逆に、ベンダーの側に担当事業部門とセキュリティ事業部門の社内連携や、他ベンダーとのようなエコシステムの中での連携がないことで、セキュリティに関する提言や提案が行われず、ユーザー側での業務システムが運用に入ることも多々ある。ユーザーが自前で対策ができなければ、危険度や緊急度が高いリスクが残存し、結果として重大な事故につながる可能性が高くなる。

 近年は、委託先や取引先といったサプライチェーンに起因したセキュリティインシデントが問題になっており、脆弱性のようなソフトウェアサプライチェーンリスクの問題も顕著になっている。緊急度や危険度の高い脆弱性の場合には、ベンダーだけでなく業界団体や、場合によってはメディアからも注意喚起される機会が増えている。

 ユーザーが自身で速やかに修正プログラムを適用できることが理想ではあるが、ベンダーの運用・保守契約の範囲内であれば、適用の頻度や対応スピードなど具体的な要件が明確になっている必要がある。実際問題、運用・保守契約の中でその役割がどちらにあるか、そして、要件がどうなっているかをユーザー自身が把握していないケースも多いのではないだろうか。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
アマゾンのFire TV CubeがZoom会議に対応
ハードウェア
2021-07-31 04:37
オリックスとneoAI、生成AIを用いた共同研究–書類における取引情報の抽出精度を向上
IT関連
2023-12-07 00:35
人はなぜ“言わなくてもいいこと”を言ってしまうのか 「日本人の国民性調査」からネット炎上が止まらない背景を探る :小寺信良のIT大作戦(1/3 ページ)
トップニュース
2021-08-18 03:32
富士通、「エンタープライズ生成AIフレームワーク」を開発–特化型生成AIを自動生成
IT関連
2024-06-06 02:38
企業における自動化が加速、ただし人間の介在も重要–Digitate調査
IT関連
2023-12-21 07:02
GitHub「Arctic Code Vault」が完成–未来の人の興味を引く美しい保管庫に
IT関連
2022-09-24 19:52
DeepL、「DeepL Pro」を25の国と地域で新たに提供
IT関連
2023-12-23 09:11
「Omiai」運営元、企業サイトのフォームからも情報流出 「システム設定の不備」で
セキュリティ
2021-05-25 20:50
Natureが電力需給に応じ電気料金が変動する「Natureスマート電気」を発表、東京電力・関西電力エリア対象
IoT
2021-03-02 17:27
日本IBM、大企業に最適化したメタバース基盤を発表
IT関連
2023-04-26 03:41
日立システムズ、AI活用で社会インフラ施設の損傷状況などを可視化
IT関連
2021-03-08 05:26
製品開発から顧客支援まで–AWSジャパン、流通・小売業の取り組み解説
IT関連
2024-11-14 12:04
米国にソフトパワーもたらす大手テックが逆に国の影響力を弱めていないか?
IT関連
2022-02-15 01:58
オンライン学習大手Byju’sがインドで最高評価額のスタートアップに、UBSなどから資金調達
EdTech
2021-06-14 22:46