令和５年度中⼩企業サイバー
セキュリティ対策継続支援事業

取組内容

リスクの大きい課題から改善に着手しつつ知識を吸収

課題の可視化

本事業の専門家派遣において、セキュリティ対策の現状を確認し、「保守運用に関してベンダーへの依存度が高い」、「セキュリティ規程および情報資産管理台帳の運用が行われていない」、といった課題を洗い出しました。

課題解決に向けた優先順位の決定

洗い出した課題をリスト化して、解決に向けた優先順位を決定しました。当初、セキュリティ担当者は体系的な知識を得るというステップを経てから実務的な対策に移行することを考えていましたが、本事業の専門家のアドバイスにより、早期の解決が必要なセキュリティ対策を優先することとしました。

リスクの大きい実務的な課題から一つずつ改善

まず、ベンダーに一任していた脆弱性情報の能動的な収集を行いました。社内に向けて定期的に脆弱性情報を提供するようになると、従業員の危機意識が高まり担当者への問い合わせが増えました。また、ネットワークログの収集・監視を開始し、多要素認証の導入についても前向きに検討し始めました。

セキュリティ規程と情報資産管理台帳の評価と修正に着手

長期間メンテナンスしていなかったセキュリティ規程に関しては、独立行政法人情報処理推進機構（IPA）のひな型と照らし合わせて評価・修正を開始しました。また、情報資産管理台帳に関しては、本事業のワークショップで学んだ内容を参考に、不足している部分を追加する形で少しずつ修正作業を進めています。

本事業の専門家派遣において、課題の洗い出しを実施しました。「セキュリティ担当者に専門的な知識がなく不安を感じている」、「ベンダーに一任している保守運用で正しい対策ができているか否かの判断がつかない」、「SECURITY ACTION（二つ星）の宣言時にプライバシーマーク（Pマーク）の規程と照らし合わせて作成したセキュリティ規程がメンテナンスできていない」、といった課題を可視化し、一つ一つのテーマごとに解決に向けた方策を練っていきました。担当者は当初セキュリティに関する体系的な知識を吸収しなければ課題を解決できないと考えていましたが、「リスクの大きい課題から実務的に解決すべき」と本事業の専門家に指摘され、すぐに着手できる課題から改善を目指すことにしました。ベンダーから提供されている脆弱性情報を自社で能動的に収集するようになったほか、サーバ入替時にアクセスログの取得を開始するとともに、クラウドサービス利用時の多要素認証の導入も検討しました。セキュリティ規程に関しては、現状の規程を点検した上で、将来的に全従業員を巻き込んで運用していくことを決定しました。情報資産管理台帳についても、各部の担当者による記入項目の漏れなどを確認した上で、全社的に運用していく方向性を定めました。