企業規模が小さくてもクラウドセキュリティが必要な背景
従業員が少ない会社でも、クラウドサービスを使っていれば、情報漏えいや不正アクセスの対策は欠かせません。規模が小さいほど、対策に割ける人手や予算が限られるため、選び方に工夫が必要です。その背景を、次の3つに整理して説明します。
クラウド利用が前提の業務環境
メールや文書の共有、顧客管理、会計など、業務の多くをクラウドサービスで行う会社が増えています。社外から利用できる便利さの反面、アカウントの管理が不十分だと、第三者に悪用される可能性もあります。会社の重要な情報が外部へ流出するおそれも否定できません。
従業員が少ないと、1人が複数のサービスを使う場面も多くなります。どのサービスにどんな情報があるかを把握しておかないと、対策の抜けが生じやすくなる点に注意が必要です。まずは現状を把握することが、対策の第一歩です。
設定ミスや不正アクセスのリスク
クラウドサービスでは、共有範囲の設定を誤ると、意図しない相手に情報が見えてしまう場合があります。パスワードの使い回しや、退職者のアカウントの削除漏れも、不正アクセスにつながる要因の1つです。会社の規模にかかわらず、見直したい点です。
これらは、特別な攻撃を受けなくても起こり得る身近なリスクです。小規模な会社ほど、日々の設定管理をルール化し、機能で補う仕組みが役立ちます。人の注意だけに頼らない運用を目指しましょう。
専任の担当者を置きにくい体制
従業員が10名ほどの会社では、情報システムの担当を専任で置けず、総務や経営者が兼務している場合が少なくありません。日常業務の合間に、セキュリティの対応を行う負担は軽くありません。本来の業務が圧迫される可能性もあります。
そのため、導入後の運用に専門知識を求める製品は、使いこなせない可能性があります。担当者の負担を考慮して、運用しやすい製品を選ぶことが重要です。無理なく続けられるかを、判断の軸にしましょう。
企業規模10名で優先したい対策を絞る
限られた人手と予算で対策を進めるには、一度に全部を整えようとせず、優先順位をつけることが現実的です。まず取り組みたい3つの対策を整理しました。自社の状況と照らして、取り組む順番を検討してみてください。
利用中のクラウドサービスを洗い出す
最初に、会社で使っているクラウドサービスを一覧にします。メールやファイル共有、会計、顧客管理に加えて、従業員が個人の判断で使っているサービスがないかも確認しましょう。部署や担当者への簡単な聞き取りが役立ちます。
誰が、どのサービスで、どのような情報を扱っているのかが分かれば、守るべき範囲がはっきりします。一覧は定期的に更新し、新しいサービスを追加した際にも記録してください。更新の担当者を決めておくと、管理が続きます。
認証とアクセス権限の管理を整える
不正アクセスを防ぐ基本は、本人であることの確認と、必要な人にだけ権限を与えることです。パスワードに加えて、スマートフォンなどでの追加の確認を設定できるサービスは、積極的に使いましょう。設定の手間は小さく、効果は大きい対策です。
退職や異動があったときに、アカウントや権限を速やかに見直す手順も決めておきます。担当者が替わっても続けられるよう、手順を文書にして残しておくと安心です。チェックリストにまとめると便利です。
設定ミスや不審な操作に気づける仕組みを持つ
共有範囲の誤りや、普段と違う場所からのアクセスなど、異常に早く気づける仕組みがあると、被害の拡大を抑えられます。この役割を担うのが、クラウドセキュリティの製品です。仕組みの有無で、対応の速さが変わります。
ただし、製品を入れても、通知を見て対応する人がいなければ効果は限られます。誰が通知を受け取り、どのように対応するかを、導入前に決めておきましょう。担当者の不在時に備えて、連絡先を複数用意しておくと安心です。
クラウドセキュリティの製品タイプと違い
クラウドセキュリティの製品には、守る対象や機能の異なるタイプがあり、名称も多様です。自社の課題にあうタイプを選ぶために、代表的な3つの特徴を理解しておきましょう。なお、機能は製品ごとに異なるため、詳細は提供会社に確認してください。
設定状況を点検するタイプ
クラウド環境の設定が適切かどうかを自動で点検し、問題のある設定を知らせるタイプがあります。設定ミスによる情報の露出を、早い段階で見つけられる可能性があります。点検の頻度や通知の方法は、製品によって異なります。
主に、クラウド上のサーバーやストレージを自社で構築している会社に向いています。メールや文書の共有サービスだけを使う会社では、別のタイプのほうがあう場合もあります。選定の前に、使い方を整理しておくと迷いません。
サービスの利用を見える化して制御するタイプ
従業員がどのクラウドサービスを使っているかを把握し、利用の制限や情報の持ち出し制御を行うタイプです。CASBと呼ばれる分類の製品が、この役割を担います。クラウドサービスへのアクセスを仲介して監視する仕組みです。
会社が許可していないサービスの利用を確認したい場合や、重要な情報の外部への送信を抑えたい場合に有効です。導入の範囲や設定の難しさは、製品によって異なります。試用や相談で、確認してみましょう。
Webアプリケーションを守るタイプ
自社のWebサイトや、顧客向けのサービスを運営している場合は、外部からの攻撃を防ぐ製品も選択肢です。WAFと呼ばれる、Webアプリケーションを守る仕組みがこれに当たります。不正な通信を検知し、遮断する役割を持つ製品です。
自社で公開するWebサイトがない会社には、優先度が低くなる場合があります。まず自社が何を守りたいのかを明確にして、必要なタイプを見極めましょう。複数のタイプを組みあわせる場合も、優先順位が重要です。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でクラウドセキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
企業規模が小さくても運用しやすい製品を選ぶ
小規模な会社では、機能の多さよりも、無理なく続けられるかどうかが重要です。導入後に使われなくなる事態を避けるため、運用面の観点から製品を見ていきましょう。選ぶときの3つの基準を、順に紹介します。
専任者がいなくても使える画面と通知を確かめる
管理画面が専門用語ばかりだと、担当者は何をすべきか分からなくなってしまいます。画面が日本語に対応しているか、危険度が分かりやすく示されるか、対応方法の案内があるかなどを確認しましょう。操作に迷わないことが、継続して使うための条件です。
通知の方法や頻度も大切です。通知が多すぎると見落としにつながり、少なすぎると異常に気づけません。試用期間があれば、実際の通知の量や分かりやすさを確かめておくと安心です。
導入や設定の支援を確認する
初期設定を自社だけで進めるのが難しい場合は、提供会社や販売店の支援があると助かります。設定の手順書の提供、問い合わせ窓口、設定作業の支援など、支援の範囲は製品によって異なります。範囲を具体的に尋ねましょう。
支援の内容が、案内なのか、設定作業の代行なのかも、確認しておきたい点です。サポートの受付時間や連絡手段も、あわせて比較すると、導入後の安心感が変わってきます。無料の相談窓口があるかも見ておきましょう。
費用を利用規模にあわせて見積もる
費用の体系は、利用するユーザー数や、守る対象の数に応じて変わる場合があります。従業員10名の規模で必要な範囲を明確にして、見積もりを依頼しましょう。過剰な機能への支払いを避けられます。
基本料金に含まれる機能と、オプションの費用も確認が必要です。今後、従業員やサービスが増えた場合の費用の見通しも、あわせて尋ねておくと安心です。契約期間や、途中での変更の可否も確認しておきましょう。
少人数で検討したい対策製品の紹介
従業員10名規模では、守る範囲を絞れるかどうかや、運用の手間を抑えられるかどうかが選定の軸です。ここでは、サイトの防御とクラウドの設定点検という、役割の異なる製品を取り上げます。
Cloudbric WAF+
- 特許取得のロジック＆AIエンジンを搭載、高い攻撃検知力
- WAF/DDoS攻撃遮断/API保護/ボット対策/Malicious IP遮断
- 24時間365日監視体制と専門家にお任せのマネージドサービス付帯
ペンタセキュリティ株式会社が提供する「Cloudbric WAF+」は、WAFを中心に、DDoS攻撃遮断やAPI保護、ボット対策、Malicious IP遮断を備えたクラウド型のサービスです。不正アクセスの検知に対応し、導入や運用を専門家に任せられるマネージドサービスが付帯しています。専任の担当者を置きにくい会社は、外部の運用支援でどこまで任せられるかを確認するとよいでしょう。全ての規模の企業を対象としています。
BLUE Sphere
- WAF/DDoS防御/DNS監視/サイバー保険がオールインワン
- ドメイン無制限で複数サイトを１つの契約で守る！
- 三井住友海上火災保険「サイバープロテクター」が無償で付帯！
株式会社アイロバが提供する「BLUE Sphere」は、WAF、DDoS防御、DNS監視をオールインワンで備えたクラウド型のセキュリティサービスです。防御からサポートまでをワンストップで提供するサービスで、登録できるWebサイトは1社1契約で無制限とされています。複数のサイトを運営していて、対策を個別に契約する手間を省きたい場合に検討できます。提供形態はクラウド、SaaS、サービスで、全ての規模の企業を対象としています。
AppOmni （株式会社日立ソリューションズ）
- SaaSの権限や設定の不備を自動で診断
- 自社のセキュリティポリシーに沿った診断が可能
- 疑わしいアクセスを検知し管理者へ通知
ソフトバンクのクラウドパトロール （ソフトバンク株式会社）
- クラウドの設定ミスをCIS基準で自動チェック
- 公開資産を洗い出し脆弱性を優先度順に提示
- 検出結果をレポートやメール・Slackで通知
Falcon Shield （株式会社マクニカ）
- 業務で使う多数のSaaSの設定状況を横断で確認
- ユーザーやデータの状況を一覧で可視化
- 不審なID操作を検知し、対処手順も提示
クラウドセキュリティに関するよくある質問
クラウドセキュリティについてよくある質問と回答をまとめました。
- ■Q1：従業員10名ほどの会社でも、クラウドセキュリティは必要ですか？
- A：クラウドサービスで業務を行っていれば、規模を問わず設定ミスや不正アクセスのリスクがあります。必要な範囲を絞り、無理のない対策から始めるのがよいでしょう。
- ■Q2：専任の担当者がいなくても運用できますか？
- A：製品によって異なります。画面の分かりやすさや通知の方法、提供会社の支援を確認し、兼務の担当者でも続けられるかを試用などで確かめることをおすすめします。
- ■Q3：小規模な会社は、まず何から始めればよいですか？
- A：利用中のクラウドサービスの洗い出しと、認証や権限の管理の見直しから始めるのが現実的です。そのうえで、不足する部分を製品で補うかどうかを検討しましょう。
- ■Q4：費用を抑えるには、どのような点に注意すればよいですか？
- A：守る対象を絞り、必要な機能に限って見積もりを取りましょう。利用人数や対象の増加に伴う費用の変化も、契約前に確認しておくと安心です。
まとめ
従業員10名規模の会社がクラウドセキュリティを選ぶ際は、利用中のサービスを洗い出し、守る範囲と優先順位を決めることが出発点です。専任の担当者がいなくても運用できる画面や通知、導入の支援、費用の見通しを比べましょう。資料請求を活用して、複数製品を比較検討してください。
