業種別に見るセキュリティシステムの懸念点と備え

業種別にセキュリティシステムの懸念点が分かれる背景

同じ製品でも、使う業種の環境によって、うまく機能するかどうかは変わります。まず、業種ごとに懸念点が分かれる背景と、確認の進め方を整理します。

業種ごとの守る対象と制約を押さえる

業種によって、守るべき情報の種類や、使っている機器、順守する規則が異なります。金融業は取引の情報、医療機関は患者の情報、製造業は設計情報や生産設備が中心です。業種の特性を最初に押さえておくと、後の検討が進めやすくなる点が利点です。

こうした違いにより、一般的なセキュリティ対策がそのまま使えない場合があります。自社の業種に固有の制約を把握することが、製品選びの出発点です。まず、止められない業務と、守りたい情報を書き出してみましょう。

導入前に懸念点を洗い出す

導入後に制約が判明すると、機能が使えなかったり、運用の変更が必要になったりする場合があります。原因は製品側、自社の環境、連携先のいずれにもあり得ます。疑問点は早い段階でベンダーに伝え、回答を記録しておきましょう。

事前に懸念点を洗い出しておけば、製品の選定や契約の段階で対策を相談できます。ベンダーへの質問を整理しておくと、確認が漏れにくくなります。情報システム部門だけでなく、現場の担当者も交えて確認しましょう。

共通の確認事項と業種固有の確認事項を分ける

どの業種でも確認したい点として、対象となる端末やOSへの対応、運用の負担、サポート体制があります。これらは、製品の資料や問い合わせで確かめられます。確認の結果は、一覧にして関係者と共有しておくと役立ちます。

一方、業種固有の確認事項は、規制や特殊な機器に関するものです。共通の確認と固有の確認を分けて整理すると、抜けを防げます。次の章で業種ごとの懸念点を見ていく前に、抜けやすい項目をチェックリストにしておくと安心です。

金融業のセキュリティシステムで想定したい懸念点

金融業では、基幹系システムの安定性と、規制への対応が重視されます。対策ソフトを導入するときの制約と、代わりの備え方を見ていきます。

基幹系システムに対策ソフトを入れられない場合に備える

勘定系などの基幹系システムは、動作の安定性が強く求められます。そのため、ベンダーが動作を保証していないソフトを、追加で導入できない場合があります。提供元の回答は、書面で残しておくと後の判断に役立ちます。

対策ソフトが入れられないと、端末型の機能が使えず、守りに空白ができる可能性があります。導入前に、基幹系の提供元へ対策ソフトの可否を確認しましょう。動作の検証に時間がかかる点も、計画に織り込みます。

代わりの対策として通信の監視を使う

端末に対策ソフトを入れられない場合は、ネットワーク側で通信を監視する方法があります。基幹系との通信を分析し、不審な動きを検知する考え方です。補完策を決めておけば、端末型の機能が使えない場合でも備えられます。

ただし、通信が暗号化されていると、内容を確認できない場合があります。監視の範囲と限界を理解したうえで、他の対策と組み合わせましょう。アクセスできる人の制限や、操作の記録の取得も、有効な補完策といえます。

規制やガイドラインへの対応を確かめる

金融機関には、情報セキュリティに関する監督上の指針や、業界団体の安全対策の基準が示されています。導入する製品がこれらの要求に対応できるかを確認する必要があります。最新の内容は、監督当局や業界団体の公式資料で確認しましょう。

ログの保管期間や、監査への提出が可能かといった点が、確認項目の例です。製品が対応しているかは、ベンダーに具体的に質問しましょう。自社の内部規程と照らして、不足がないかも点検してください。

製造業のセキュリティシステムで想定したい懸念点

製造業では、工場の設備や制御系の端末が対象になる場合があります。生産を止めないことが優先されるため、導入の進め方に工夫が必要です。

生産を止められない設備に導入する

工場の制御系の機器は、長期間止めずに動かし続けることが前提の場合があります。再起動や更新が必要な対策は、生産計画との調整が欠かせません。停止の許される時間は、設備ごとに異なる点にも注意が必要です。

導入のタイミングは、設備の点検や休止の期間にあわせる方法があります。事前に別の環境で動作を確かめ、影響が出ないことを確認しましょう。現場の責任者と、導入の手順を共有しておくと安心です。

古いOSや専用機器に対応できるかを確かめる

製造の現場では、サポートが終了した古いOSの端末や、専用のソフトで動く機器が使われている場合があります。一般的な対策ソフトが対応していないことも考えられます。対応できない機器が見つかった時点で、代替の方法を相談しておくと安心です。

対応できない機器は、ネットワークを分けて隔離する方法を検討しましょう。産業用制御システムのセキュリティには、国際規格のIEC 62443があります。自社の機器の一覧を作り、対応状況を確認します。

事務系と制御系のネットワークを分ける

製造業では、事務用のネットワークと、工場の制御用のネットワークが接続されている場合があります。つながりが多いと、一方の被害が他方へ広がる可能性があります。分け方の判断には、現場の通信の状況を調べておくことが欠かせません。

両者の境界に、通信を制御する機器を置く考え方があります。どの通信を許可するかは、業務の内容にあわせて決めましょう。保守で使う持ち込みの端末や記録媒体の管理も、見落としやすい点です。

ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でセキュリティシステムの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。

医療機関のセキュリティシステムで想定したい懸念点

医療機関では、患者の情報の保護と、診療の継続を両立させる必要があります。医療に固有の機器や運用による制約を整理します。

■医療機器

メーカーが動作を保証していない対策は導入できない場合がある

■診療への影響

検査や更新で端末の動作が遅くなると業務に支障が出る

■ガイドライン

医療情報の安全管理に関するガイドラインへの対応が必要

医療機器や電子カルテとの相性を確かめる

医療機器は、メーカーが動作環境を厳密に定めています。許可されていないソフトを入れると、保証の対象外になったり、動作に影響が出たりする場合があります。相性の問題は、導入後に発覚すると対応が難しくなります。

電子カルテなど、診療に直結するシステムも同様です。導入前に、機器やシステムの提供元へ、対策ソフトの可否を問い合わせましょう。検証用の環境で動作を試せるかを確認し、保守を担当する事業者にも早い段階で相談しておくと安心です。

診療に影響を出さない運用を工夫する

ウイルス検査や更新の処理が、診療時間中に端末の動作を重くする場合があります。診療の妨げにならないよう、実行する時間帯を調整できる製品が望まれます。設定の内容は、現場の医療従事者にも共有しておくと安心です。

警告が出たときの対応の流れも、現場と相談して決めておきましょう。夜間や休日に誰が対応するのかが曖昧だと、初動が遅れる可能性があります。外部への委託も選択肢のひとつとして、動作が遅くなった場合の相談先も事前に確認しておきましょう。

医療情報の安全管理のガイドラインに沿う

医療機関には、厚生労働省が示す、医療情報システムの安全管理に関するガイドラインがあります。情報の取り扱いやアクセス管理、記録の保管などが示されています。ガイドラインは改定される場合があるため、定期的な確認が必要です。

導入する製品がこの指針の要求に対応できるかを確認しましょう。委託先を含めた管理の責任範囲も、あらかじめ整理しておく必要があります。最新の指針の内容は、公式の資料で確かめてください。

官公庁や自治体のセキュリティシステムで想定したい懸念点

官公庁や自治体では、ネットワークを分離した環境で業務を行う場合があります。分離環境ならではの制約と、運用の備えを確認しましょう。

ネットワーク分離環境での更新と運用

ネットワークを分離した環境では、外部に接続できないため、定義ファイルやプログラムの更新を自動で受け取れない場合があります。更新が滞ると、新しい脅威に対応できなくなる可能性があります。更新の作業を担当する人と、記録を残す方法も決めておく必要があります。

記録媒体を介した更新の手順や、更新の頻度をあらかじめ決めておきましょう。クラウド型の製品は、分離環境では使えない場合があります。導入前に、提供形態が環境にあうかを確認しましょう。

クラウド型が使えない場合の選択肢

外部との通信が制限される環境では、クラウド上で管理する製品を利用できない場合があります。このときは、自組織内に管理サーバを置く形態を検討します。どの形態なら自組織の環境で使えるかを、ベンダーに相談しましょう。

管理サーバを置くと、運用や保守の負担が増える可能性があります。担当者の体制と保守の方法を確認し、監視や分析を庁内で完結させるか外部に頼るかも判断しましょう。オンプレミス型の費用や保守の条件も、見積もりの段階であわせて確かめておきましょう。

ポリシーや調達の手続きとの整合

官公庁や自治体は、情報セキュリティポリシーにもとづいて、導入できる製品や運用を決めています。国や総務省が示すガイドラインへの対応も、確認の対象です。手続きにかかる期間も、導入の計画に含めておくと安心です。

調達では、仕様書の要件を満たすことが求められます。必要な機能や認証を、事前に整理して仕様に反映しましょう。入札の手続きや契約期間によっても、選べる製品の範囲が変わる場合があります。

OT環境の制約に配慮した製品の候補

前述の製造業の章で触れた、止められない設備や制御系の環境（OT）を対象にした製品です。業種ごとの制約への対応可否は製品により異なるため、資料請求で具体的に確認しましょう。

セキュリティシステムに関するよくある質問

セキュリティシステムの業種別の懸念点についてよくある質問と回答をまとめました。

■Q1：基幹系システムに対策ソフトを入れられない場合、どのような代替策がありますか？

A：ネットワーク側での通信の監視、アクセスできる人の制限、操作の記録の取得などで補う方法があります。導入前に基幹系の提供元へ、対策ソフトの可否を確認しましょう。

■Q2：止められない設備がある場合、更新作業はいつ行えばよいですか？

A：設備の点検や休止の期間にあわせて計画する方法があります。別の環境で事前に動作を確かめ、現場の責任者と手順を共有しておきましょう。

■Q3：医療機関では、委託先を含めた管理をどう考えればよいですか？

A：委託先が患者の情報を扱う場合は、責任の範囲や事故時の連絡手順を契約で明確にしましょう。最新のガイドラインの内容は、公式の資料で確認してください。

■Q4：ネットワーク分離環境では、更新はどのように行えばよいですか？

A：記録媒体を介して更新ファイルを受け渡す方法や、環境内に管理サーバを置く方法があります。更新の頻度と担当者、記録の残し方を決めておきましょう。

まとめ

セキュリティシステムの懸念点は、業種別に守る対象と制約が異なるため、導入前に洗い出すことが大切です。金融業は基幹系との相性、製造業は止められない設備、医療機関は医療機器と診療への影響、官公庁や自治体はネットワーク分離環境が主な論点です。懸念点を整理したうえで、複数の製品を資料請求し、比べてみてください。