記事公開日
#09｜IT担当者が兼務する企業で起きやすい「セキュリティの盲点」とは
IT担当者を兼務する中小企業で起きやすいセキュリティの盲点を分かりやすく解説。ランサムウェア攻撃に備え、アカウント管理や端末、バックアップ、緊急時の対応など、見落としやすいポイントを確認します。
IT担当者が兼務する企業ほどセキュリティの「盲点」に注意
IT担当者が他の業務を兼務している企業では、セキュリティ対策を進めていても、細かな管理や確認まで手が回らないことがあります。セキュリティ製品を導入している、定期的にバックアップを取っているといった「対策している状態」だけでは、十分とは限りません。重要なのは、普段の運用の中に見落としがないかを確認することです。特に担当者しか把握していない情報や設定は、企業としての盲点になりやすいため注意が必要です。
対策しているのに見落としが生まれる理由
セキュリティ対策は、一度導入すれば終わりではありません。従業員の入退社や端末の入れ替え、システム変更などによって、管理すべき対象は変化します。そのたびに設定や運用を見直さなければ、以前は適切だった対策に抜け漏れが生じることがあります。兼務のIT担当者の場合、こうした確認が後回しになりやすいため、定期的に現在の状態を確認することが重要です。
「導入済み」だけでは判断できないセキュリティの状態
「ウイルス対策ソフトを導入している」「UTMを設置している」といった事実だけでは、自社のセキュリティが十分かどうかは判断できません。重要なのは、製品が正常に動作しているか、必要な設定がされているか、通知を確認できているかといった運用面です。また、導入後に環境が変わっている可能性もあります。製品の有無ではなく、現在どのような状態になっているのかを確認しましょう。
IT担当者しか把握していない運用がリスクになる
IT担当者だけがシステムの設定や管理方法を把握している状態は、担当者が不在になった際のリスクにつながります。例えば、管理者アカウントの情報やネットワーク構成、契約しているサービスなどが担当者の頭の中だけにあると、緊急時に対応できなくなる可能性があります。セキュリティに関する重要な情報は、担当者個人に依存させず、必要な範囲で社内共有しておくことが大切です。
盲点① 管理しているアカウントをすべて把握できているか
企業では、従業員が利用するPCやクラウドサービス、業務システムなど、多くのアカウントが存在します。これらを正しく管理できていないと、退職者のアカウントが残ったり、必要以上の権限を持つユーザーが増えたりする可能性があります。アカウントは一度作成して終わりではなく、利用者の状況に応じて定期的に確認することが重要です。
退職者や異動者のアカウントが残っていないか
従業員の退職や異動があった際には、不要になったアカウントの停止や権限変更が必要です。しかし、複数のクラウドサービスや業務システムを利用していると、すべてを把握して対応することが難しくなります。利用されていないアカウントが残っていると、不正アクセスのリスクにつながる可能性があります。従業員の入退社・異動に合わせて、アカウントを確認するルールを決めておきましょう。
管理者権限を持つアカウントが増えすぎていないか
管理者権限は、システムの設定変更やユーザー管理など、幅広い操作ができる強い権限です。便利だからという理由で複数の従業員に付与していると、万一アカウントが不正利用された場合の影響も大きくなります。誰が管理者権限を持っているのかを定期的に確認し、本当に必要な人だけに付与することが重要です。権限は「必要な人に、必要な範囲だけ」を基本にしましょう。
共有アカウントを安易に使っていないか
複数人で同じIDとパスワードを使う共有アカウントは、誰が操作したのかを特定しにくくなるという問題があります。また、担当者が異動・退職した場合には、パスワード変更などの対応も必要になります。可能であれば個人ごとのアカウントを用意し、それぞれに適切な権限を設定することが望ましいでしょう。共有が必要な場合も、利用目的や管理方法を明確にしておくことが大切です。
盲点② 社内の端末やソフトウェアを把握できているか
社内には、業務用PCだけでなく、サーバーやネットワーク機器、プリンターなどさまざまな機器が存在します。さらに、業務で利用するソフトウェアやクラウドサービスも増えています。管理対象を正確に把握できていなければ、更新されていない端末や不要なソフトウェアが残る可能性があります。まずは「社内に何があり、誰が利用しているのか」を把握することが、基本的な管理につながります。
使用していないPCや機器がネットワークにつながっていないか
入れ替え後のPCや一時的に利用していた機器などが、社内ネットワークに接続されたままになっていないでしょうか。使用していない端末でも、ネットワークに接続できる状態であれば、管理対象として考える必要があります。不要な機器はネットワークから切り離し、廃棄や再利用の際には保存されている情報にも注意しましょう。定期的に接続機器を確認することが、見落としの防止につながります。
OSやソフトウェアの更新状況を確認できているか
OSやソフトウェアの脆弱性を悪用した攻撃を防ぐためには、最新の状態に保つことが重要です。しかし、複数のPCを管理していると、すべての端末が同じ状態になっているとは限りません。特に長期間使用している端末や、業務上の理由で更新を止めている端末には注意が必要です。どの端末がどのバージョンなのかを把握し、更新できていないものを確認できる状態にしておきましょう。
私物端末や許可していない機器が接続されていないか
従業員が私物のPCやスマートフォン、USB機器などを業務で利用する場合、企業が把握していない機器がネットワークに接続される可能性があります。管理対象外の端末では、セキュリティ設定やソフトウェアの更新状況を確認できない場合があります。利便性だけを優先するのではなく、どのような機器を社内ネットワークへ接続できるのか、ルールを明確にしておくことが重要です。
盲点③ セキュリティ製品が正常に動作しているか
セキュリティ製品を導入していても、設定や動作に問題があれば期待した効果を発揮できない可能性があります。例えば、端末側の保護機能が停止していたり、設定が変更されていたりするケースです。また、検知した異常を知らせる通知が届いていても、確認されていなければ問題を把握できません。製品を導入した後も、正常に動作しているか、通知を確認できているかを定期的に確認することが大切です。
ウイルス対策ソフトやEDRが無効になっていないか
ウイルス対策ソフトやEDRは、端末を守るための重要な仕組みです。しかし、設定変更やエラーなどによって、意図せず保護機能が停止している場合があります。複数の端末を管理している場合、担当者が一台ずつ確認するのは負担が大きいため、管理画面などから状態を確認できる仕組みが有効です。「導入している」だけでなく、「すべての端末で正常に動作しているか」を確認しましょう。
UTMなどの設定が現在の環境に合っているか
ネットワーク環境は、拠点の追加やクラウドサービスの利用などによって変化します。以前に設定したUTMなどのセキュリティ機器も、現在のネットワーク構成に合っているとは限りません。不要になった設定が残っていたり、新しい通信が想定されていなかったりする可能性もあります。定期的に現在のネットワーク構成と設定内容を確認し、実際の利用状況とのずれがないかチェックすることが重要です。
警告や通知を見逃していないか
セキュリティ製品から通知が届いていても、内容を確認しなければ異常に気づけません。特に通知が多い環境では、重要な警告が他の情報に埋もれてしまうことがあります。また、通知の意味が分からず、そのまま放置してしまうケースも考えられます。どの通知を誰が確認するのか、緊急性が高い場合にはどう対応するのかを決めておくことで、重要な警告を見逃しにくくなります。
盲点④ バックアップを「取っているだけ」になっていないか
ランサムウェア攻撃などによってデータが利用できなくなった場合、バックアップは復旧のための重要な手段になります。しかし、「バックアップを設定しているから安心」と考えるのは危険です。正常に取得できているか、必要なデータが対象になっているか、実際に復元できるかまで確認する必要があります。バックアップは、取得することだけでなく、万一の際に使える状態を維持することが重要です。
重要なデータが何か整理できているか
企業には、顧客情報や設計データ、受発注情報、会計データなど、さまざまな重要情報があります。しかし、何を優先して保護・復旧すべきなのかが整理されていないと、バックアップの対象も曖昧になります。特に製造業では、生産に関係するデータや業務システムが利用できなくなると、事業への影響が大きくなる可能性があります。まずは、失うと業務に大きな影響が出る情報を洗い出しましょう。
バックアップが正常に取得できているか
バックアップは自動設定していても、エラーなどによって正常に取得できていない可能性があります。そのため、定期的にバックアップの成功状況を確認することが重要です。また、バックアップ先の容量不足や設定変更などによって、知らないうちに取得できなくなるケースもあります。「設定している」ではなく、「現在も正常に取得できている」という状態を確認する習慣を作りましょう。
ランサムウェア攻撃を想定した復旧方法を確認しているか
バックアップがあっても、復旧方法が分からなければ、実際の障害発生時に対応が遅れる可能性があります。どのデータをどこから復元するのか、復旧にどの程度の時間が必要なのかなど、基本的な手順を確認しておくことが重要です。また、攻撃によってバックアップまで影響を受ける可能性も考慮し、重要なデータを適切に保護できる構成になっているか確認しましょう。
盲点⑤ ランサムウェア攻撃を想定した準備ができているか
ランサムウェア攻撃への備えでは、感染を防ぐことだけでなく、万一発生した場合にどう動くかを決めておくことも重要です。異常を確認した担当者が一人で判断しようとすると、対応に迷う可能性があります。誰に報告するのか、どのような状態なら緊急対応とするのか、感染が疑われる端末をどう扱うのかなど、基本的なルールを事前に整理しておきましょう。
異常が発生したときに誰が判断するのか
セキュリティ上の異常が発生した場合、IT担当者だけでは判断できないケースもあります。例えば、業務を停止する必要がある場合には、経営層や各部門との調整が必要になるでしょう。そのため、技術的な確認を行う担当者と、業務上の判断を行う責任者をあらかじめ決めておくことが重要です。緊急時に「誰に相談すればよいか分からない」という状態を避ける準備が必要です。
感染が疑われる端末をどう隔離するのか
ランサムウェアなどへの感染が疑われる場合、被害拡大を防ぐために対象端末をネットワークから切り離すなどの対応が必要になる場合があります。ただし、担当者がその場で判断すると、対応が遅れたり、逆に必要な情報を失ったりする可能性もあります。自社の環境に合わせて、感染が疑われた場合の基本的な対応方針を整理し、関係者が理解しておくことが重要です。
取引先や経営層への連絡方法が決まっているか
サイバー攻撃による被害が発生した場合、社内対応だけでなく、取引先などへの連絡が必要になることがあります。しかし、誰がどのタイミングで連絡するのか決まっていないと、情報共有が遅れる可能性があります。緊急時の連絡先や報告ルートを整理し、IT担当者だけが把握するのではなく、関係する責任者にも共有しておきましょう。
盲点⑥ IT担当者が不在でも対応できる状態か
兼務のIT担当者に業務が集中している企業では、担当者が休暇や出張、異動、退職などで不在になった場合に、セキュリティ対応が止まってしまう可能性があります。普段は問題なく運用できていても、緊急時に担当者へ連絡できないと、状況を確認できなくなることがあります。特定の個人に依存しすぎないよう、必要な情報や連絡先を整理しておくことが重要です。
設定や管理情報が担当者だけに集中していないか
ネットワーク構成や管理者アカウント、契約情報などが担当者しか分からない状態になっていないか確認しましょう。担当者本人にとっては分かりやすくても、他の人から見ると必要な情報がどこにあるのか分からないケースがあります。緊急時に最低限必要となる情報を整理し、適切な方法で共有しておくことで、担当者が不在でも対応しやすくなります。
緊急時の連絡先を複数人で共有しているか
セキュリティ上の問題が発生した場合、社内の責任者やシステム担当者、必要に応じて外部の支援先などへ連絡する必要があります。担当者の個人メールや携帯電話だけに頼っていると、不在時に連絡がつかない可能性があります。緊急時に連絡すべき相手と連絡方法を一覧化し、関係者が確認できる状態にしておくことが大切です。
担当者の退職・異動を想定して引き継げる状態か
IT担当者が退職・異動する場合、通常業務だけでなく、セキュリティに関する設定や契約、アカウントなども引き継ぐ必要があります。しかし、情報が整理されていなければ、後任者が環境を把握するまでに時間がかかります。担当者が変わっても業務を継続できるよう、管理対象や設定、契約先、運用ルールなどを定期的に整理しておくことが重要です。
盲点⑦ 取引先から「どんな対策をしていますか」と聞かれて答えられるか
近年は、取引先からセキュリティ対策の実施状況について確認を求められる企業も増えています。その際、「ウイルス対策ソフトを入れています」といった回答だけでは、自社の対策状況を十分に説明できない場合があります。何を対象に、どのような対策を行い、異常時にどう対応するのかを整理しておくと、質問にも答えやすくなります。普段から説明できる状態を作っておきましょう。
導入しているセキュリティ対策を一覧化できているか
自社で利用しているセキュリティ製品やサービスを、担当者がすべて把握できているでしょうか。UTM、ウイルス対策、EDR、バックアップなど、複数の対策を導入している企業では、それぞれの役割が分からなくなっていることもあります。導入している製品と、その目的を一覧化しておけば、自社の対策状況を確認しやすくなります。取引先から質問を受けた際にも、具体的に説明しやすくなります。
どの情報・システムを守っているか説明できるか
セキュリティ対策を説明する際は、「何を導入しているか」だけでなく、「何を守っているのか」も重要です。例えば、顧客情報、生産に関わるデータ、社内ファイルサーバー、業務システムなど、重要な情報やシステムを整理しておきましょう。守る対象が明確になれば、それぞれにどのような対策を行っているのかも説明しやすくなります。
万一の際の対応体制まで説明できるか
取引先からは、セキュリティ製品の導入状況だけでなく、万一問題が発生した場合の対応について確認されることもあります。誰が異常を確認し、誰に報告し、どのように対応するのかを整理しておけば、具体的な説明が可能になります。すべてを詳細に説明する必要はありませんが、基本的な対応体制を社内で共有しておくことで、問い合わせにも落ち着いて対応しやすくなります。
中小企業のセキュリティは「対策の数」より「抜け漏れ」の確認が重要
セキュリティ対策では、新しい製品を次々に追加することだけが重要なのではありません。既に導入している対策が正常に機能しているか、管理対象に漏れがないか、緊急時の対応が決まっているかなど、現在の運用を確認することも重要です。特に兼務のIT担当者が管理している場合は、日常業務の中で見落としている部分がないかを定期的にチェックすることで、対策の実効性を高められます。
まずは現在のセキュリティ対策を一覧化する
最初に、現在導入しているセキュリティ製品やサービス、管理している端末、アカウント、バックアップなどを一覧化してみましょう。何を導入しているのかが整理されると、重複している対策や、逆に不足している部分にも気づきやすくなります。また、担当者以外の人が見ても分かる形にしておけば、引き継ぎや経営層への説明にも活用できます。現状を見える化することが、盲点を発見する第一歩です。
自社だけでは確認しにくい部分を明確にする
一覧化した後は、自社で継続的に確認できる部分と、難しい部分を分けてみましょう。例えば、アカウント管理や従業員へのルール周知は社内で行えても、セキュリティログの分析や大量のアラート確認などは負担が大きい場合があります。すべてを無理に自社で抱えるのではなく、専門知識や時間が必要な部分を明確にすることで、必要な支援を検討しやすくなります。
定期的にチェックできる仕組みをつくる
セキュリティの盲点は、一度確認しただけではなく、定期的に見直すことが重要です。従業員の入退社や端末の追加、システム変更などによって、管理すべき対象は変化します。そこで、アカウントや端末、バックアップ、セキュリティ製品の状態などを定期的に確認するルールを決めておきましょう。担当者の記憶や経験だけに頼らず、チェック項目として管理することで、抜け漏れを防ぎやすくなります。
まとめ｜兼務のIT担当者こそセキュリティの盲点を定期的に確認しよう
IT担当者が他の業務を兼務している場合、セキュリティ対策のすべてを自社だけで確認し続けることは容易ではありません。NDS MSSは、中小企業向けにセキュリティ対策の運用を支援するマネージドセキュリティサービスです。ネットワークだけでなく、PCなどのエンドポイントも含めてセキュリティ状況を把握しやすくすることで、IT担当者だけに負担が集中しない体制づくりを支援します。
「セキュリティ対策はしているが、抜け漏れがないか分からない」「IT担当者だけでは日々の確認まで手が回らない」といった課題をお持ちではないでしょうか。NDS MSSでは、中小企業のセキュリティ運用を支援し、限られた体制でも継続的に対策しやすい環境づくりをサポートします。自社のセキュリティ対策を見直したい方は、NDS MSSのサービス内容をご確認ください。
