セキュリティを外注すれば任せきりでいい？監視・初動・復旧の確認事項

セキュリティ対策を専門家に任せたいと考えたとき、多くの経営者が「丸投げすれば安心だ」と考えてしまいがちです。しかし、トラブルが起きた際に「誰が止めるのか」「誰が判断するのか」という責任の所在が曖昧だと、被害を拡大させる原因になります。まず最初に行うべきことは、自社の業務で「絶対に止めてはいけないシステム」と「止まっても良いもの」を整理し、外注先に「どこまで動いてほしいか」の境界線を決めることです。本記事では、監視、初動、復旧の3つの段階に分けて、契約前に確認すべき具体的なポイントを詳しく解説します。

機器の維持管理と日々の監視をどう分けるか

セキュリティ対策には、常に動かし続けるための「保守」と、異常がないかを見守る「監視」の2種類があります。これらを混同すると、いざという時に「動いていない」という事態を招きます。まずは、日々の道具を整える仕事と、異変を見つける仕事の違いを理解しましょう。

機器が正常に動く状態を保つ「通常保守」の範囲

通常保守とは、セキュリティ用の機器やソフトウェアが、常に最新の状態で正しく動作するように管理することです。例えば、ウイルス対策ソフトの定義ファイル（ウイルスを検知するための最新リスト）が更新されているか、通信をチェックする装置が故障していないかを確認する作業が含まれます。外注先に依頼する場合、「故障したときに修理の手配までしてくれるのか」「設定の変更が必要になったときに作業してくれるのか」を確認してください。もし保守の範囲が「機器の動作確認のみ」であれば、設定ミスでセキュリティが効かなくなっていても、業者は気づかない可能性があります。担当者には「設定変更やアップデートの作業まで含まれているか」を質問しましょう。

異常を検知して知らせる「監視」の仕組み

監視とは、ネットワークやパソコンに不審な動きがないかを24時間体制で見守ることです。これは、防犯カメラの映像をモニターで見続ける作業に似ています。ここで重要なのは、監視業者が「何を見ているか」です。例えば、特定のパソコンから大量のデータが外部へ送信されている動きを見つけるのか、あるいは単に機器が動いているかだけを見ているのかによって、防げる被害の大きさが変わります。契約時には「どのような異常を検知対象としているか」を確認してください。また、監視の対象となる範囲（社内の全パソコンなのか、サーバーだけなのか）を明確にしないと、重要な場所が監視から漏れてしまうリスクがあります。

通知が届くだけか判断まで行うかの違い

監視の契約で最も注意すべきなのが、「通知」と「判断」の境界線です。多くの安価なサービスでは、異常を見つけた際に「異常がありました」というメールや電話を送る（通知する）だけで終わります。これに対し、高度なサービスでは、その異常が本当に危険なものかどうかを業者が判断し、次に何をすべきかまで助言してくれます。例えば、夜間に大量の通信が発生した際、業者が「これは攻撃の可能性があります」と判断して報告してくれるのか、それとも「単なる通信量増加です」と流してしまうのかで、その後の対応スピードが劇的に変わります。担当者には「通知を受けた後、業者はどこまで調査を進めてくれるのか」を確認させてください。

異常事態が起きたときの初動対応の境界線

もし攻撃を受けていることが判明したとき、最も重要なのは被害を最小限に食い止める「初動」です。ここで「誰が、どの権限で、何をするか」が決まっていないと、現場は混乱し、被害は拡大します。外注先にどこまで踏み込んでもらうかを事前に決めておく必要があります。

異常検知後の連絡ルートと連絡手段の確立

異常が見つかった際、誰に、どのような手段で連絡が来るのかを具体的に決めておく必要があります。例えば、深夜や休日、あるいは担当者が会議中の場合に、誰が連絡を受けるのかというルールです。連絡手段も、メールだけでは気づかない可能性があるため、電話や緊急用チャットなど、確実に伝わる方法を検討してください。契約時には「夜間や休日の連絡体制はどうなっているか」「連絡が取れなかった場合の予備の連絡先はあるか」を確認しましょう。連絡体制が不十分だと、業者が異常を見つけていても、自社が気づくまでに数時間が経過し、手遅れになる恐れがあります。

業務を止める「停止判断」は誰が行うのか

セキュリティ事故の際、被害を止めるために「ネットワークを遮断する」「サーバーの電源を切る」といった、業務を一時停止させる判断が必要になることがあります。これは、業務に大きな影響を与えるため、非常に重い決断です。外注先に「勝手に止めていい」と権限を与えておけば被害は抑えられますが、誤検知（間違いによる停止）によって業務が止まるリスクもあります。逆に、自社が判断するまで待つ設定にしていると、攻撃が止まらないリスクがあります。例えば、「特定の通信を遮断するまでは業者が実施し、サーバー停止は自社の承認を必須とする」といった、段階的なルール作りが必要です。担当者には「停止判断の権限はどちらにあるのか」を必ず確認させてください。

業者がどこまで現場の調査を行うか

異常が起きた際、業者がどこまで深く調査してくれるのかも確認事項です。単に「攻撃がありました」と報告するだけなのか、それとも「どのパソコンから、どのような経路で侵入されたのか」という原因の特定（フォレンジックと呼ばれる調査に近い作業）まで踏み込むのかによって、再発防止策の質が変わります。例えば、調査の範囲が「ネットワークのログ（通信記録）の確認」に限定されている場合、パソコン内部に潜伏しているウイルスを見つけられない可能性があります。契約前に「原因究明のために、どこまでのログを解析してくれるのか」を質問し、必要であれば追加費用が発生するのかも把握しておきましょう。

被害からの復旧と事後対応の進め方

攻撃を防げなかった場合、次に求められるのは「元の状態に戻す」ための復旧作業です。復旧は、単にパソコンを直すだけでなく、データの復元や、二度と同じことが起きないための対策を含みます。ここも、外注の範囲によって準備の負担が変わります。

システムを元に戻す「復旧支援」の範囲

バックアップからの復旧では、保管したデータを使って業務を再開できる状態へ戻します。状況によっては環境の再構築なども必要なため、復旧に含む作業を具体化します。外注先に依頼する場合、「データの復元作業そのもの」を行ってくれるのか、それとも「復元するための手順を助言してくれるだけ」なのかを確認してください。復元作業には専門知識が必要であり、作業時間も要します。もし「助言のみ」の契約であれば、自社の社員が作業を行うための準備が必要です。これには、自社の復旧要件に基づいた適切なバックアップの取得（頻度や保存場所の管理など）が日頃から整っていることが前提となります。担当者には「復旧作業が発生した場合、業者は実作業まで担ってくれるのか」を確認させてください。

調査結果に基づいた再発防止策の策定

事故が収束した後は、原因を分析し、再発防止策を講じる必要があります。業者が「調査レポート」を作成する場合、その内容が「次に何をすべきか」という具体的なアクションプランにまで踏み込んでいるかを確認しましょう。例えば、「パスワードの設定を強化してください」という抽象的な助言だけでなく、「具体的にどのシステムの、どの設定を変更すべきか」まで示してくれるのかが重要です。レポートの内容に基づき、最終的な対策の決定や社内ルールの改定、実施方法を決めるのは自社の権限者です。設定変更の作業自体を委託する場合も、誰が行い誰が結果を確認するかを決めます。委託先には、その判断と実施に必要な材料をどれだけ提供してくれるかを確認してください。

契約終了時における情報の引き継ぎと管理

将来的に別の業者へ切り替えたり、自社運用に戻したりする場合に備えて、データの引き継ぎについても確認しておくべきです。セキュリティのログ（記録）や、これまでの設定情報、管理権限などが、契約終了時にスムーズに返却されるかを確認してください。例えば、業者が独自のツールを使って管理している場合、契約が終わるとそのツールが使えなくなり、過去の履歴が追えなくなるリスクがあります。契約書には「契約終了時に、蓄積されたログや設定情報をどのような形式で返却するか」を明記しておくことが、将来のトラブルを防ぐことにつながります。担当者には「解約時のデータの持ち出しが可能か」を確認させてください。

失敗しないための判断基準と相談の進め方

最後に、複数の業者を比較したり、自社に最適なプランを選んだりするための考え方をまとめます。価格だけで決めるのではなく、自社の「守りたいもの」と「任せたい範囲」のバランスを見極めることが大切です。

自社の業務特性に合わせた委託範囲の決定

まずは、自社がどのような業務を行っているかを整理しましょう。例えば、24時間稼働している工場であれば、夜間の監視と即時の停止判断が重要になります。一方で、平日の日中のみ稼働する事務中心の会社であれば、夜間の監視は「通知のみ」に留め、コストを抑えるという選択肢もあります。すべてを最高レベルのサービスにするとコストが膨大になります。「絶対に守るべきシステム」と「止まっても大きな問題にならないシステム」を分け、それぞれに最適な委託レベルを設定することが、賢いコスト管理の第一歩です。担当者には「業務停止が許容できる時間」と「守るべき重要資産」をリストアップさせてください。

業者選定時に確認すべき具体的な質問リスト

業者との打ち合わせでは、曖昧な言葉を避け、具体的な場面を想定した質問を投げかけることが重要です。例えば、「もし月曜日の深夜2時に、基幹システムへの不正アクセスを検知した場合、貴社はどのような手順で、誰に、何をしてくれますか？」といった質問です。この問いに対して、「マニュアルに基づき、担当者に連絡します」という回答だけでなく、「まずは通信を遮断し、その後、翌朝までに調査報告書を作成します」といった、具体的な行動が返ってくるかを確認してください。また、「追加費用が発生する境界線はどこか」を明確に聞き出すことも、予算管理の観点から非常に重要です。

専門家へ相談・診断を依頼するタイミング

自社だけで「どこまでが適切か」を判断するのは困難です。もし、現在の対策が十分か不安であったり、外注の範囲をどう決めるべきか迷ったりした場合は、第三者の専門家に診断を依頼することをお勧めします。専門家は、自社の業務内容とリスクの大きさを客観的に評価し、「この業務は外注したほうが効率的です」「この判断は社内で行うべきです」といった具体的なアドバイスをくれます。まずは、現在のセキュリティ体制の棚卸しを行い、不明な点を整理した上で、専門家へ「自社の業務に合わせた委託範囲の設計」について相談することから始めてみてください。