セキュリティ担当者を採用すべき？IPAの人材ガイドから考える兼務と外注

「セキュリティ対策を強化したいが、専門の人材を雇う余裕はない」「今のIT担当者に任せているが、これで十分なのだろうか」といった悩みは、多くの中小企業が直面する課題です。結論から申し上げますと、必ずしも専門のフルタイム採用が必要なわけではありません。

大切なのは、業務を「経営判断」「日常の作業」「高度な専門対応」の3つに切り分け、それぞれに最適な人員を割り当てることです。まずは、自社が現在どのレベルの対策を求めているのか、そしてどの業務を誰が担っているのかを整理することから始めてください。

セキュリティ業務を3つの役割に切り分ける方法

経営者が担うべき意思決定の役割

情報セキュリティは単なるITの問題ではなく、会社の事業継続に関わる経営課題です。そのため、セキュリティに関する方針を決め、必要な予算を確保し、リスクをどこまで許容するかを判断するのは、担当者ではなく経営者の役割となります。

例えば、「万が一データが流出した際に、どの程度の損害までなら許容できるか」といった判断は、現場の担当者にはできません。経営者が明確な指針を示すことで、初めて組織としての対策が動き出します。

具体的なアクションとしては、情報セキュリティ基本方針を策定し、社内に周知することが挙げられます。担当者に丸投げするのではなく、経営層が「我が社はこれだけの対策を行う」と宣言することが、組織全体の意識を高める第一歩となります。担当者に対しては、「どのようなリスクを回避したいのか」という目的を明確に伝えることが求められます。

社内担当者が行う日常的な運用業務

日常的な業務の一部は、手順・権限・教育・作業時間が確保できれば、既存の社員による兼務の候補になります。兼務で足りるかは業務量や扱う情報によって異なります。例えば、新しいパソコンを導入した際の初期設定、ウイルス対策ソフトの更新確認、社員へのセキュリティ教育の実施、定期的なバックアップの確認などがこれに当たります。

これらは高度な専門知識というよりも、決められた手順（ルール）を正確に守り、継続的に実行する力が求められる業務です。

こうした業務を兼務で行う場合は、その担当者が本来の業務に支障をきたさないよう、業務量の調整が必要です。担当者に対しては、「チェックリストに基づいた日々の確認作業」や「異常を感じた際の報告ルートの確認」といった、具体的な作業手順を指示することが重要です。日常業務の積み重ねが、大きな事故を防ぐ基盤となります。

外部専門家に依頼すべき高度な技術対応

サイバー攻撃の手法は日々進化しており、社内の知識だけで全ての脅威に対応するのは困難です。ネットワークの複雑な設定変更や、不正アクセスが発生した際の調査、高度な脆弱性（システムの弱点）の診断などは、外部の専門家に依頼することを検討すべき領域です。

これらは「専門対応」と呼ばれ、トラブルが起きた際や、新しいシステムを導入する際などのスポット的な対応が中心となります。

外注を検討する際は、単に「守ってください」と頼むのではなく、「どの範囲までを任せるのか」を明確にすることが重要です。例えば、システムの監視だけを任せるのか、トラブル時の復旧作業まで含めるのかを事前に決めておく必要があります。専門家に対しては、自社のネットワーク構成や、守るべき重要な資産が何であるかを正確に伝える準備をしておきましょう。

兼務体制を選択する場合の注意点と進め方

兼務者の負担とスキル不足をどう補うか

既存の社員にセキュリティ業務を兼務させる場合、最も大きなリスクは「本来の業務との兼ね合いによる形骸化」です。業務が忙しくなると、セキュリティの確認作業が後回しにされたり、チェックが疎かになったりする可能性があります。これを防ぐためには、セキュリティ業務を「特別な仕事」ではなく、日常業務の一部としてスケジュールに組み込む仕組み作りが必要です。

また、知識不足による判断ミスを防ぐためにも、継続的な学習機会を確保することが重要です。例えば、IPAが提供しているガイドラインや、公的な研修などを活用し、基本的な知識をアップデートし続ける環境を整えましょう。担当者に対しては、「何を知らないかを知ること」の重要性を伝え、不明な点があればすぐに相談できる体制を構築しておくことが、失敗を防ぐ鍵となります。

兼務業務をルール化するための資料準備

兼務者が迷わずに作業を進めるためには、感覚に頼らない「仕組み」が必要です。具体的には、資産管理台帳（どのパソコンが誰に渡っているかのリスト）や、セキュリティに関する社内規定、インシデント（事故）が起きた際の連絡フロー図などが挙げられます。これらが整備されていないと、担当者が変わった際や、トラブル発生時に混乱が生じます。

例えば、新しい社員が入社した際に、どのようなセキュリティルールを守らせるべきかを記した「ハンドブック」を作成しておくことも有効です。これらは、IPAのガイドラインにあるサンプルを活用することで、作成の参考になります。担当者には、手順を明確に示し、迷わず作業に取り組める環境を整えることが大切です。

兼務体制が限界を迎えるサインを見極める

兼務体制で運用していても、以下のような状況が見られた場合は、体制の見直し（外注への切り替えや専門職の検討）を検討すべきタイミングです。一つ目は、セキュリティ業務がルーチン化せず、担当者の記憶や経験に頼った運用になっている場合です。二つ目は、新しいITツールやクラウドサービスの導入が増え、担当者の知識が追いついていないと感じられる場合です。

また、実際に小さなトラブルが発生した際、原因の特定や復旧に時間がかかりすぎている場合も危険なサインです。こうした兆候が見られたら、担当者に対して「今の体制で何が足りないと感じているか」をヒアリングしてください。現場の「不安」の声は、体制変更を判断するための重要な材料となります。

外注を活用して専門性を確保する判断基準

業務範囲を明確にするための比較基準

セキュリティ対策を外注する場合、どこまでを業者に任せるのかという「境界線」を引くことが、コストと効果のバランスを取る上で極めて重要です。例えば、「24時間365日の監視」を求めるのか、「月に一度のシステム診断」で十分なのかによって、費用も求められるスキルも大きく変わります。自社が現在、どの程度のセキュリティレベルを目指しているのかを整理しましょう。

判断の基準として、自社でコントロールできる「日常的な管理」と、外部に頼るべき「高度な技術」を分けて考えます。例えば、社員のパスワード管理や端末の持ち出しルールは社内で管理し、ネットワークの境界防御やログの解析は外注するといった切り分けです。

業者との打ち合わせでは、「この作業は自社で行い、この作業は御社にお願いする」という役割分担を、具体的な作業名で確認するようにしてください。

信頼できる外部パートナーを選ぶための確認事項

外注先を選ぶ際には、単に価格が安いことだけでなく、自社の規模や業種、求めるサービス内容に合致しているかを確認する必要があります。例えば、大規模な金融機関向けのサービスを提供している企業は、中小企業が必要とする柔軟なサポートや、コストパフォーマンスに欠ける場合があります。自社の課題に対して、具体的な解決策を提示してくれるかどうかがポイントです。

また、トラブルが発生した際の「レスポンス（対応速度）」についても、事前に確認しておくべきです。契約書に記載されているだけでなく、「夜間や休日に連絡がつくのか」「復旧までにおよそどの程度の時間がかかるのか」といった実務的な部分を、担当者を通じて具体的に質問しておきましょう。契約前に、過去の事例や対応フローの説明を求めることは、決して失礼なことではありません。

外注コストを正当化するための成果の見え方

外注費用は、経営者にとっては「コスト」として捉えられがちです。そのため、外注によってどのようなリスクが低減されたのか、あるいはどのような価値が生まれたのかを可視化することが、継続的な投資を受けるために必要です。例えば、「定期的な診断によって、潜在的な脆弱性を〇件発見し、修正した」といった、具体的な活動実績を報告書として受け取るようにしましょう。

また、セキュリティ対策は「何も起きないこと」が成果であるため、その価値が分かりにくいという側面があります。そのため、単に「守っている」という報告だけでなく、最新の脅威情報に基づいたアドバイスや、自社の業務をより安全にするための提案など、付加価値のあるコミュニケーションを業者から引き出せるかどうかも、投資対効果を判断する一つの基準となります。

自社に最適な体制を構築するためのステップ

現状の対策レベルを自社診断で把握する

体制を考える前に、まずは「今、自社がどの程度守れているのか」を知る必要があります。IPAが提供している「5分でできる！情報セキュリティ自社診断」などのツールを活用し、自社の実施状況を項目ごとに確認しましょう。自己診断は回答に基づく整理であり、専門家による技術検証や安全の証明とは異なります。

これにより、「バックアップの実施状況」や「不要な通信の遮断」といった、基本的な項目について確認を行うことができます。

診断結果が出たら、それを「できていない項目」としてリストアップし、優先順位をつけます。全ての項目を一度に解決しようとするのではなく、まずは「これだけは外せない」という重要項目から着手することが、現実的な進め方です。担当者には、診断結果の各項目について、現在の運用状況がどうなっているかを具体的に調査してもらうよう指示してください。

優先順位に基づいたリソース配分の決定

現状が把握できたら、次に「人・モノ・金」をどこに投入するかを決めます。例えば、診断の結果、基本的なバックアップ体制が整っていないことが判明した場合は、まずは兼務者の日常業務の中にバックアップ確認を組み込むことから始めます。一方で、外部からの攻撃に対して防御が極めて脆弱である場合は、ネットワーク機器の導入や外注による監視の検討を優先します。

この際、一度に全てを変えようとせず、スモールステップで進めることが成功のコツです。例えば、導入初期の数か月は「社内ルールの整備と兼務者の教育」に集中し、その後に「特定の業務の外注化」を検討するといった段階的な計画を立てます。担当者には実現可能なスケジュールを提示し、各対策が確実に実行されているかを確認しながら進めてください。

継続的な改善に向けた振り返りと見直し

セキュリティ対策は、一度作って終わりではありません。新しいITツールが導入されたり、組織の体制が変わったりするたびに、対策もアップデートしていく必要があります。定期的に、現在の体制（兼務・外注のバランス）が適切かどうかを振り返る時間を設けましょう。例えば、半年に一度、外注業者との打ち合わせや、兼務者の業務負荷の確認を行うといった仕組みです。

振り返りの際には、「実際にトラブルは起きなかったか」「対策によって業務が過度に停滞していないか」といった視点を持つことが大切です。もし、対策が重すぎて現場が疲弊しているなら、それは体制が不適切であるサインかもしれません。

自社の状況を定期的に整理し、必要に応じて体制を微調整していく姿勢が、持続可能なセキュリティ対策を実現します。まずは、現在の自社の体制が「経営・日常・専門」のどこに偏っているか、整理することから始めてみましょう。