情報セキュリティ6か条を会社の予算にする。無料の確認と外注が必要な作業

IPA（独立行政法人情報処理推進機構）が公開している「中小企業の情報セキュリティ対策ガイドライン」には、経営者が取り組むべき指針として「情報セキュリティ6か条」が示されています（第4.0版）。しかし、これらを単なる「心がけ」として読み飛ばしてしまうと、実際の対策が進まず、いざという時に会社を守ることができません。

まず最初に行うべきは、この6か条を「何にいくら使うか」という予算の項目に置き換える作業です。具体的には、ガイドラインに沿った「自社診断」を行い、自分たちでできることと、専門家に任せるべきことを仕分けます。これにより、根拠のあるセキュリティ予算を策定できるようになります。

6か条を予算の項目へ変換する具体的な手順

6か条を「実施すべき業務」に分解する

情報セキュリティ6か条は、経営者が意識すべき大切な指針ですが、そのままでは予算書に書けません。例えば、「バックアップを取ろう！」という項目であれば、それを「データの複製を作成し、安全な場所に保管する業務」と読み替えます。

この業務を遂行するために、「外付けHDDなどの機材を買うのか」「クラウドの保存サービスを契約するのか」という具体的なアクションまで落とし込むことが重要です。

このように、スローガンを「具体的な作業内容」に分解することで、初めて「その作業にいくらかかるのか」という金額の検討が可能になります。経営者として、単に「セキュリティ対策費」と一括りにするのではなく、どの項目（ルール）を守るための費用なのかを明確に分けることが、適切な予算配分の第一歩となります。

自社診断の結果を予算の優先順位に反映させる

IPAが提供する「5分でできる！情報セキュリティ自社診断」を活用すると、現状の情報セキュリティ対策を客観的に把握できます。診断結果で「対策が必要」と示された項目は、予算検討の際に優先度が高いと考えられます。

たとえば、ネットワークの不要な通信遮断やウェブサイトの安全運用に関する項目で課題が指摘された場合は、まずはそれらに対策予算を割り当てることを検討してください。ただし、具体的な予算額や配分は、社内のリスク評価や財務状況に合わせて決定する必要があります。

診断結果をそのまま放置せず、「この課題を解決するために、来期の予算にこれだけの金額を組み込む」という論理構成を作ります。これにより、単なる「念のための出費」ではなく、「ガイドラインに基づいたリスク回避のための投資」として、会社の予算計画に組み込むことができます。診断結果は、社内での合意形成や、外部への相談時にも強力な根拠資料となります。

運用記録を付けるためのコストを見積もる

セキュリティ対策は、一度対策を導入して終わりではありません。ガイドラインでは、対策が正しく行われているかを記録し、継続することの重要性が示唆されています。例えば、誰がいつバックアップを取ったのか、誰がパソコンの持ち出し許可を出したのかといった「運用記録」を残す作業が必要です。

この「記録する作業」自体にも、人の工数（人件費）や、記録を管理するためのツール費用が発生します。

予算を立てる際は、機材やソフトの購入費だけでなく、それらを「使い続けるための管理コスト」を忘れないようにしてください。管理台帳の作成や、定期的なチェック作業にかかる時間を、あらかじめ業務時間の一部として見積もっておくことが、形骸化しないセキュリティ体制を築くためのポイントです。

自社で無料でできる確認と外注が必要な作業の境界線

社内で完結できる「無料の確認作業」の範囲

セキュリティ対策には、専門知識がなくても、自社のルールや現状を確認するだけで済む「無料の作業」が多くあります。例えば、社員がパスワードを付箋で貼っていないか、机の上に重要書類が放置されていないかといった、基本的な行動ルールの確認です。

また、IPAのガイドラインにある「資産管理台帳」のサンプルを活用して、自社にどのようなパソコンやスマートフォンがあるのかをリストアップする作業も、社内のリソースだけで実施可能です。

これらの作業は、特別なツールを購入しなくても、今あるExcelや紙の台帳を使って始められます。まずは「何が自社にあるのか」「今、どのようなルールで動いているのか」を整理することから着手しましょう。これらはコストをかけずに、セキュリティの土台を作るための非常に重要なステップとなります。

専門家の判断を仰ぐべき「技術的な対策」

一方で、ネットワークの設定や、外部からの不正な通信を遮断する仕組みづくりなどは、専門的な知識が必要です。例えば、「外部から内部ネットワークへの不要な通信を遮断する」といった対策は、設定を誤ると業務に支障をきたす恐れがあります。

このような技術的な設定や、システムの脆弱性（セキュリティ上の弱点）の診断などは、自社で行うのではなく、専門の業者へ外注することを検討すべき領域です。

「どこまでが自社でできるか」の判断に迷ったときは、「設定を間違えたときに、業務が止まるリスクがあるか」を基準にしてください。業務停止のリスクが高い技術的な領域については、プロの知見を借りることで、結果として安価かつ安全にリスクを抑えることができます。

外注を検討する際は、単に「やってほしい」と言うのではなく、IPAのガイドラインのどの項目に関する作業なのかを伝えると、スムーズな相談が可能になります。

人材確保と育成に関する外部リソースの活用

ガイドラインの付録には、中小企業のための「人材確保・育成の実践ガイドブック」が含まれています。セキュリティを守るためには、社員一人ひとりの意識を高める必要がありますが、社内に専門教育のノウハウがない場合、外部の研修サービスなどを活用することも一つの手段です。

社員向けのセキュリティ意識向上セミナーや、外部の専門家による定期的なアドバイスを受けることは、長期的なリスク低減につながります。

すべてを自社で完結させようとせず、教育やスキルの補完を「外注」という選択肢で捉えてください。専門的な知識を持つ人材を直接雇用するのはコストが高い場合でも、外部のサービスを利用することで、必要な時に必要な分だけ、専門的な知識を取り入れることが可能になります。これは、限られた予算の中でセキュリティレベルを維持するための現実的な戦略です。

外部業者へ発注する際に見積もり条件で確認すべきこと

作業の「範囲（スコープ）」を明確に定義する

セキュリティ対策を業者に依頼する際、最も注意すべきなのが「どこまでやってくれるのか」という範囲の曖昧さです。例えば、「ネットワークのセキュリティ対策」という見積もりがあったとしても、それが「機器の設定だけ」なのか、「設定後の動作確認まで」なのか、あるいは「トラブルが起きた時のサポート」まで含まれているのかによって、実際のコストと効果は大きく変わります。

見積書を受け取った際は、「この作業には、〇〇の設定、△△のテスト、そして□□の報告書作成が含まれていますか？」と具体的に質問してください。作業範囲が不明確なまま契約してしまうと、後から「それは別料金です」と言われたり、期待していた対策ができていなかったりするトラブルにつながります。

IPAのガイドラインにある項目を引用しながら、「この項目を達成するために、具体的にどの作業を行うのか」を明確にさせることが重要です。

成果物として何を受け取るのかを指定する

セキュリティ対策の依頼では、目に見えない「作業」に対してお金を払うことになります。そのため、作業が終わった後に「何が手元に残るのか」という成果物を必ず確認してください。例えば、設定作業を依頼した場合は、その設定内容を記した「設定管理表」や、対策が正しく行われたことを示す「点検結果報告書」などが成果物として考えられます。

これらの成果物は、将来的に別の業者へ乗り換える際や、自社で状況を確認する際の重要な資料になります。成果物が定義されていないと、作業が終わった後に「本当に正しく対策されたのか」を判断する術がなくなってしまいます。見積もり段階で、「最終的にどのような報告書や資料をいただけますか？」と確認しておく習慣をつけましょう。

継続的なサポートと責任の境界線を確認する

セキュリティ対策は、一度実施して完了するものではなく、継続的な管理が求められます。そのため、業者へ依頼する際は「導入時の一回限りの作業」なのか、「月額制などの継続的な保守・運用サポート」なのかを明確に区別する必要があります。

例えば、ウイルス対策ソフトの導入は一度で済みますが、その更新管理や、万が一ウイルスに感染した際の対応（インシデント対応）は、継続的な支援が必要な領域です。

また、インシデントが発生した際にベンダーがどの程度の責任を負うかは、契約前に必ず確認すべき重要事項です。セキュリティ分野で「100%安全」を保証できる業者は存在しませんので、万が一の事態に備えて、ベンダーが提供する復旧支援の手順や対応フローを具体的に確認しておくことが、現実的なリスク管理につながります。

自社のセキュリティ状況を整理し次のステップへ進む

現在の対策状況を棚卸しする

まずは、今ある資産と、現在行っている対策を書き出してみることから始めましょう。IPAの付録にある「資産管理台帳」のサンプルを参考に、パソコン、サーバー、スマートフォン、そしてそれらを取り巻くネットワーク環境を整理します。

次に、現在行っているバックアップの方法や、パスワードの管理ルールを書き出します。これらを整理するだけで、「何ができていて、何ができていないのか」という現状の全体像が見えてきます。

この棚卸し作業は、特別なツールを使う必要はありません。手元のメモやExcelで十分です。現状を整理することは、予算をどこに集中させるべきかを判断するための、最も基本的で価値のある準備作業です。整理した内容は、後に専門家へ相談する際の「自社の現状」としてそのまま活用できます。

予算化に向けた優先順位の決定

棚卸しができたら、次に「どの課題から解決するか」を決めます。前述の「自社診断」の結果と、自社の事業への影響度（例えば、そのデータが漏洩したら事業が継続できるか、など）を組み合わせて考えます。

すべての対策を一度に行うのは予算的に難しいため、「今年度はバックアップとネットワークの強化」「来年度は社員教育と運用記録の整備」といったように、数年計画で予算を割り振る考え方が現実的です。

優先順位を決める際は、「コスト」と「リスクの大きさ」のバランスを見ることが大切です。まずは、ルールの徹底やバックアップの強化など、比較的取り組みやすいものから着手し、段階的に専門的な技術が必要な領域へと予算を検討していくステップが考えられます。

専門家への相談に向けた準備

自社の状況と優先順位が見えてきたら、いよいよ外部の専門家へ相談する段階です。相談する際は、「IPAのガイドラインに基づいた対策を検討している」と伝え、「自社診断ではこのような課題が見つかった」「予算はこれくらいで、この項目（例：バックアップの運用）について相談したい」と具体的に伝えると、非常に精度の高い提案を受けやすくなります。

相談先としては、ITインフラを支えている現在の保守業者や、セキュリティに特化したコンサルティング会社などが考えられます。まずは、自社の整理した資料を持って、現在の困りごとをありのままに話すことから始めてください。自社の状況を客観的に診断し、具体的な対策への一歩を踏み出すために、専門家への相談を検討してみましょう。