情報セキュリティ対策を始める際は、製品やサービスを選ぶ前に、自社が使用している端末やクラウド、扱っている情報を確認することが大切です。管理対象が分からないままでは、必要な対策や担当者を決めにくいためです。
IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」では、専任担当者がいない企業でも利用できる手順やひな形を公開しています。何から確認すればよいか分からない場合は、このガイドラインと自社診断を出発点にできます。
最初の30日間
- 1週目：責任者、緊急連絡先、保護する情報の確認
- 2週目：端末、メール、クラウド、共有フォルダー、Webサイトの一覧化
- 3週目：IPAの自社診断による未実施項目の確認
- 4週目：担当者と期限の決定、バックアップ、更新、社内周知の開始
最初から詳細な規程を完成させる必要はありません。まず、業務や顧客への影響が大きい情報とシステムを確認し、上の順序を目安に進めてください。
文書を作ることだけが目的にならないよう注意が必要です。退職者のアカウントを誰が停止するのか、更新が遅れている端末を誰が確認するのか、事故の連絡を誰が受けるのかを、実際の業務に合わせて決めてください。
第4.0版でバックアップを追加
第4.0版では、従来の「情報セキュリティ5か条」にバックアップが加わり、「情報セキュリティ6か条」となりました。自社診断には、不要な外部通信の遮断や、Webサイトを安全に運用するための項目も追加されています。
バックアップは、保存しているかどうかだけでは十分ではありません。業務に必要なデータが対象になっているか、元のシステムと同時に失われない場所へ保存されているか、実際に復旧できるかまで確認してください。
社内で確認しておきたい5項目
- 会社が管理する端末、メール、クラウドの一覧がある
- 退職・異動時にアカウントを止める担当が決まっている
- バックアップ先と復旧方法を説明できる
- OSやソフトウェアの更新担当が決まっている
- 不審メールや事故の報告先を社内で共有している
答えられない項目があっても、直ちに新しいサービスを導入する必要があるとは限りません。まず利用状況と社内の役割を確認し、自社だけでは対応が難しい部分が分かった段階で、保守事業者や外部の支援先へ相談してください。