セキュリティ対策の見直しはいつ行うべき？中小企業向けに確認タイミングを解説

セキュリティ対策は一度決めて終わりではない

セキュリティ対策は、
一度決めたら終わりではありません。

会社の状況が変われば、
必要な対策も変わります。

たとえば、

・新しいクラウドサービスを使い始めた
・社員が入社、退職した
・取引先から新しい確認を求められた
・外部委託先が増えた
・重要なデータの保存場所が変わった

といった場合です。

最初に決めたルールや対策が、
今の業務に合わなくなることもあります。

そのため、
セキュリティ対策は定期的に見直すことが重要です。

なぜ見直しが必要なのか

セキュリティ対策を見直す理由は、
会社の情報や業務の進め方が変わるためです。

たとえば、以前は社内のパソコンだけで管理していた情報が、
クラウドサービスに保存されるようになることがあります。

また、少人数で使っていたサービスが、
社員や外部委託先にも共有されるようになることもあります。

このように、
情報の保存場所やアクセスできる人が変わると、
必要な対策も変わります。

見直しをしないまま使い続けると、
不要なアカウントや権限が残ったり、
重要な情報が十分に守られていなかったりする可能性があります。

業務の変化に合わせて対策も変わる

セキュリティ対策は、
会社の状況に合わせて変わっていくものです。

たとえば、
以前は少人数だけで使っていたクラウドサービスを、
社員全員で使うようになることがあります。

また、取引先とのやり取りが増えたり、
外部委託先に情報を共有する機会が増えたりすることもあります。

このように業務の進め方が変わると、
必要なアカウント、アクセス権限、バックアップ、共有設定も変わります。

最初に決めた対策が、
今の業務に合わなくなることもあります。

そのため、
セキュリティ対策は一度決めて終わりではなく、
業務の変化に合わせて見直すことが重要です。

見直しが必要なタイミング

セキュリティ対策は、
毎日細かく確認する必要はありません。

まずは、会社の状況が変わるタイミングで見直すことが現実的です。

たとえば、次のようなタイミングです。

・社員が入社、退職したとき
・新しいクラウドサービスを使い始めたとき
・外部委託先に情報を渡すとき
・取引先からセキュリティ確認を求められたとき
・重要な情報の保存場所が変わったとき
・セキュリティ事故やヒヤリハットがあったとき
・社内ルールを作成、変更したとき

このようなタイミングでは、
アカウント、権限、バックアップ、共有設定などを確認するとよいでしょう。

入退社のタイミングで確認すること

社員の入社や退職は、
セキュリティ対策を見直す重要なタイミングです。

入社時には、
必要なサービスだけにアカウントを発行し、
適切な権限を付与する必要があります。

一方、退職時には、
不要になったアカウントやアクセス権限を停止する必要があります。

たとえば、

・メールアカウント
・クラウドストレージ
・チャットツール
・業務システム
・管理者権限
・共有フォルダへのアクセス

などです。

退職者アカウントが残っていると、
本来アクセスできないはずの人が、
社内情報にアクセスできる状態が残る可能性があります。

そのため、
入退社時の確認項目を決めておくことが重要です。

クラウドサービスを追加したとき

新しいクラウドサービスを使い始めるときも、
見直しのタイミングです。

クラウドサービスは便利ですが、
使うサービスが増えるほど、
アカウントや権限の管理が複雑になります。

確認したいのは、たとえば次のような点です。

・誰が管理者になるのか
・誰が利用するのか
・どの情報を保存するのか
・外部共有はできるのか
・多要素認証を設定できるのか
・退職時に停止できる仕組みがあるか

使い始める前に確認しておくことで、
後から管理が曖昧になることを防ぎやすくなります。

取引先から確認を求められたとき

取引先からセキュリティチェックシートや確認依頼を受けたときも、
見直しの良い機会です。

チェックシートでは、

・パスワード管理
・多要素認証
・バックアップ
・ログ管理
・事故時の連絡体制
・委託先管理

などを聞かれることがあります。

このとき、単に回答するだけでなく、
自社の対策状況を見直すことが重要です。

できていること、できていないこと、
今後対応すべきことを整理することで、
取引先への説明もしやすくなります。

事故やヒヤリハットがあったとき

セキュリティ事故やヒヤリハットがあったときも、
対策を見直すタイミングです。

たとえば、

・怪しいメールを開きそうになった
・誤って外部にファイルを共有した
・不審なログイン通知があった
・退職者のアカウントが残っていた
・共有リンクが不要に残っていた

といったケースです。

大きな事故にならなかったとしても、
同じことが再発しないように、
ルールや運用を見直すことが大切です。

ヒヤリハットは、
自社の弱点を見つけるきっかけになります。

定期的に確認したい項目

大きな変更がなくても、
年に1回程度は基本的な項目を確認すると安心です。

たとえば、

・利用しているクラウドサービス
・管理者アカウント
・退職者や不要アカウント
・共有リンクや外部共有設定
・バックアップの取得状況
・ログの確認方法
・事故時の連絡先
・委託先に渡している情報

などです。

すべてを細かく確認する必要はありません。

まずは、
影響が大きい情報やサービスから確認することが現実的です。

見直しを続けるための工夫

セキュリティ対策の見直しを続けるには、
負担を大きくしすぎないことが重要です。

たとえば、

・確認項目を絞る
・年1回の見直し日を決める
・入退社時のチェック項目に入れる
・クラウドサービス追加時の確認ルールを作る
・取引先対応のタイミングで見直す

といった工夫があります。

最初から完璧な点検を行う必要はありません。

重要なのは、
見直しのタイミングを決め、
継続できる形にすることです。

まず押さえたいポイント

最初は、次の3つを意識するだけでも十分です。

①入退社時にアカウントと権限を確認する
②新しいサービスを使う前に管理方法を確認する
③年1回、重要な情報と共有設定を見直す

この3つを押さえるだけでも、
セキュリティ対策の抜け漏れを減らしやすくなります。

見直しは、
大掛かりな作業にする必要はありません。

まずは、
重要なところから少しずつ確認することが大切です。

まとめ

セキュリティ対策は、
一度決めて終わりではありません。

会社の状況、利用するサービス、社員、取引先との関係が変われば、
必要な対策も変わります。

そのため、
入退社、新しいクラウドサービスの導入、取引先からの確認、
事故やヒヤリハットなどのタイミングで見直すことが重要です。

最初から完璧な点検を行う必要はありません。

まずは、
アカウント、権限、共有設定、バックアップ、事故時の連絡先など、
影響が大きいものから確認することが現実的です。

無料相談のご案内

自社のセキュリティ対策をいつ、どのように見直せばよいか迷っている場合は、
無料相談で現状を整理しながら進め方をご案内しています。

Shelltasでは、
専門的な内容も分かりやすく整理し、
中小企業でも無理なく続けられる確認方法をご提案しています。

まずは現状整理からでも構いませんので、
お気軽にご相談ください。