セキュリティ人材不足を解決する“目から鱗”の方法

セキュリティ人材がいないとセキュリティ対策は進まないのか？

「セキュリティ人材がいないので、セキュリティ対策が進まない」――このような嘆きをよく耳にします。事実、昨今の巧妙なサイバー攻撃を検知するには高度な専門スキルを有しますし、セキュリティ人材が不足しているというのは、日本や海外でも共通する認識であり、一企業・組織が解決できる課題ではないと思考停止に陥ってしまうのも仕方のないことだと思います。しかしながら、「セキュリティ人材不足」は当面続き、誰かが来る日を待っていても、状況は改善しません。あなたの企業・組織が万が一、情報漏洩事故を起こしてしまった場合、顧客や株主、取引先は、「セキュリティ人材がいないので、仕方がない」とは言ってくれません。

結論から言うと、セキュリティの専門知識がなくても、セキュリティ対策関連の多くの業務は進めることができます。目の前のセキュリティ業務を整理してみましょう。現時点において、セキュリティが管理できているか、関連する業務をチェックしてみてください。

一つ一つの業務は当たり前のことのように見えますが、多くの企業・組織において実質的に管理できておらず、PDCAが回っていないのではないでしょうか。これらは情報セキュリティのリスク管理において、大変重要度が高く、基本的な業務ですが、そのほとんどにおいて、セキュリティの専門的な知識が不要で、ITの知識さえあれば実施可能なものです。もし、手が付けられていない項目がある場合はすぐに着手すべきです。

企業に求められる
情報セキュリティのリスク管理における7つの業務

セキュリティポリシーは最新の脅威/組織の実態に合わせて見直されているか

セキュリティポリシーに合わせて、システムが導入/更新されているか

システム導入/更新時に脆弱性診断は実施されているか

導入されているソフトウェアのバージョンを管理できているか

最新の脆弱性情報にタイムリーに対処できているか

インシデント発生時の対処方法は整備されているか

セキュリティインシデントを検知する体制が整えられているか

一つ一つの業務は当たり前のことのように見えますが、多くの企業・組織において実質的に管理できておらず、PDCAが回っていないのではないでしょうか。これらは情報セキュリティのリスク管理において、大変重要度が高く、基本的な業務ですが、そのほとんどにおいて、セキュリティの専門的な知識が不要で、ITの知識さえあれば実施可能なものです。もし、手が付けられていない項目がある場合はすぐに着手すべきです。

そもそもセキュリティ人材とはどんな人のことを言っているのか？

上述した通り、セキュリティ対策関連の業務のほとんどは、セキュリティの専門知識がなくても遂行できます。ただ、専門知識やノウハウが求められる業務もあります。

では、どのようなスキルを有する人材が必要となるのでしょうか？　Webアプリケーションのスペシャリストでしょうか？　マルウェア対策のプロフェッショナルでしょうか？　IPSのエキスパート？　それとも、ISMSの権威？このように並べ立てても、かえって混乱するだけだと思います。必要なスキルセットを有する人材の明確化や人員数を導き出すにはまず、セキュリティを管理する業務を立ち上げ、改善する手順・仕組みを理解することから始めます。

セキュリティ対策の全てを企業・組織内のリソースのみで完結することは、ほぼ不可能

上述の「セキュリティを管理する業務を立ち上げ、改善する手順・仕組み」の検討において、必要なセキュリティ人材の具体像と人員数が見えてくると、企業・組織内の現在の人員には適した人材がいないことや新規雇用が難しい状況も明らかになってきます。冒頭申し上げたように、一般的な企業・組織において、セキュリティ人材の育成は行われておらず、日本全体においても人材不足だからです。そのような場合、その不足している部分だけを情報セキュリティの専門業者への外部委託やアウトソーシングによって補うことで、効率的にセキュリティ管理体制を構築することが可能となります。

企業や組織によって、外部委託が必要な業務はさまざまでしょうが、いくつかの例を挙げます。一つ目は、「セキュリティを管理する業務を立ち上げ、改善する手順・仕組み」自体の詳細な検討をするにあたって、セキュリティ的な観点での助言を求めることです。一般的にこのようなサービスは、「セキュリティ・コンサルティング」や「セキュリティポリシー策定支援」「リスクアセスメント」などと呼ばれています。

二つ目は、ITシステムにサイバー攻撃を許してしまう弱点（脆弱性）がないかを検査する「脆弱性診断サービス」です。この分野は、高度なスキルをもった攻撃者と同等かそれ以上の技術を有した人材でないと実施の意味がないため、定期的に、そしてシステム更改があったタイミングでチェックすることが必要です。

三つ目は、企業・組織に対するサイバー攻撃の監視・分析業務です。本業務は、外部からメールで添付されてきたり、インターネット上のWebサイトからダウンロードするファイルが新種のマルウェアではないかを解析したり、正常な通信にまぎれて悪意のある遠隔操作や情報の詐取が行われていないかのトラフィック分析・アラート分析をする高度な専門スキルが必要となります。このような業務を肩代わりするサービスは、一般的に「マネージドセキュリティサービス」と呼ばれ、セキュリティオペレーションセンター（SOC）を有する事業者にて提供されています。

こうしたセキュリティに関するさまざまな業務を支援するため、NTTコミュニケーションズでは幅広いサービスを展開しています。

まずプロフェッショナルによるコンサルティングを提供しているのが「WideAngleプロフェッショナルサービス」であり、豊富な知見を元にお客さまが抱えている課題の解決を支援します。また脆弱性診断サービスもあり、お客さまのICT環境における脆弱性のチェックや、Webサイトの改ざんの有無などの調査を行うことも可能です。

サイバー攻撃の監視や分析を支援するサービスとしては、「WideAngleマネージドセキュリティサービス」があります。こちらはNTTコミュニケーションズが世界各国に設置した「グローバルリスクオペレーションセンター（GROC）」において24時間365日体制で監視を行い、標的型攻撃など道の脅威に対抗可能な不正侵入対策などを行います。

このほか、安全なインターネット接続環境の構築を可能とするサービスとして、「セキュアインターネット接続機能（vUTM）」や「OCNセキュリティゲートウェイ」も提供しています。いずれもファイアウォールやIDS／IPS、アンチウイルスなどのセキュリティ機能をワンストップで提供するサービスであり、運用の負担を抑えてセキュリティ対策を強化することが可能です。なお「セキュアインターネット接続機能（vUTM）」はVPNサービスである「Arcstar Universal One」のオプションサービス、「OCNセキュリティゲートウェイ」はOCN回線と組み合わせて使うUTM機器をレンタル提供します。

IT環境における攻めと守りのバランスを取り戻す

IT を積極的に活用することが“攻め”であるとすれば、資産に対するリスクをどう管理するかが“守り”になります。事業を成長させるために攻めることは当然ですが、一方で守りがなければ大きな問題を抱え込むことにもなりかねません。

セキュリティ対策が十分でない企業・組織は、この“攻め”と“守り”のバランスを欠いている状態であり、大きなリスクを抱え込んでいます。この状況を是正するために、経営者の責任においてリスク管理に必要な環境を整えることが大切です。これを実現できれば、セキュリティ対策の強化につながる大きな一歩を踏み出せるでしょう。