組織のデータを守るネットワークセキュリティ――誰が責任を持ち、どう対策すべきか？

組織内のネットワークセキュリティは誰が責任を持つのか

情報セキュリティは、経営層だけの仕事ではありません。経営者から夏季インターン生まで、ビジネスに携わりデータを扱うすべての人員が、ハッカーなどのセキュリティ脅威に対して常に警戒を怠らないことが求められます。組織全体でセキュリティ意識を共有することが、堅牢な防御の第一歩です。

サードパーティ（第三者）セキュリティとは

サードパーティセキュリティとは、自社の取引先・サプライヤー・ベンダーが適切なサイバーセキュリティコンプライアンス水準を維持していることを確認・保証する仕組みです。これにより、外部パートナーと安全に取引できる環境を整えます。なお、金融分野では「第三者が法的責任とともに提供する担保」を指す場合もあり、直接担保との違いや融資時に考慮すべき要点が議論されます。

第三者によるデータ漏洩を防ぐには

第三者が原因となるデータ漏洩は、企業に深刻な影響を及ぼします。防止のための主なポイントは以下の通りです。

• ベンダーと契約する前に、相手の実態を十分に把握する（デューデリジェンス）
• ネットワークやデータへのアクセスに強固なパスワード認証を設定する
• ベンダーのセキュリティ状況を常時監視する体制を整える
• データを危険にさらすベンダーとは速やかに契約を見直す・解消する

サードパーティリスクとは

サードパーティリスクとは、特権的なシステムへのアクセス権を持ち、企業に製品やサービスを提供するサプライヤーやその他の第三者が、従業員・顧客のデータ、財務、業務運営にもたらしうる潜在的な脅威を指します。

ネットワークセキュリティを強化する具体的な方法

• ファイアウォールを導入し、その性能を継続的に監視する
• パスワードを少なくとも年3回は更新する
• 高度なエンドポイント検出（EDR）ソリューションを活用する
• VPN（仮想プライベートネットワーク）を構築して通信を保護する
• セキュリティ研修を受けた人材を採用・育成する
• スパムメールをフィルタリングして削除する
• 使用していないコンピュータの電源を切る
• 重要ファイルは暗号化して保管する

情報セキュリティプログラムの責任者は誰か

組織においては、機密情報の安全を確保するため、組織全体にわたる情報セキュリティプログラムを策定・文書化・実装・維持することが、CIO（最高情報責任者）やCISO（最高情報セキュリティ責任者）などの責任者の重要な役割とされています。

組織におけるサイバーセキュリティの役割

組織におけるサイバーセキュリティの目的は、内部・外部の両方の攻撃からデータの安全を確保することです。ネットワークセキュリティとは、さまざまな技術・プロセス・構造・慣行を用いて、コンピュータ、ネットワーク、プログラム、データを不正な侵入や損害から保護することを指します。

サードパーティサイバーリスク管理（TPRM）のプロセス

サードパーティリスク管理（TPRM）プログラムは、第三者とのビジネス関係から生じるリスクを特定・評価・管理することを目的とします。対象となるリスクには、サイバーリスクのほか、財務リスク、運用リスク、規制関連リスクなどが含まれます。

サードパーティソフトウェアとセキュリティプログラム

サードパーティソフトウェア（サプライチェーンソフトウェア、ベンダー提供ソフトウェア、外注ソフトウェアとも呼ばれます）とは、そのソフトウェアを使用する企業の従業員以外によって作成されたプログラムやアプリケーションのことです。こうした外部製ソフトウェアの管理も、サードパーティセキュリティプログラムの重要な一部です。

サードパーティセキュリティ評価が重要な理由

第三者リスクの評価を怠ると、組織はサプライチェーン攻撃、データ漏洩、評判の低下といった深刻な被害にさらされます。さらに、再委託（下請け）やオンソーシングを含む第三者リスクの管理も併せて行う必要があります。

サードパーティデータ漏洩とは

サードパーティデータ漏洩とは、第三者ベンダーから機密データが盗まれたり、ベンダーのシステムが踏み台として利用され、そこから自社の機密情報へアクセス・窃取されたりすることを指します。各ベンダーのサイバーセキュリティは、直接的にも間接的にも影響を受け得ます。

第三者ベンダーが扱う機密情報を守る方法

• 事前計画：契約前にデューデリジェンスを徹底する
• レポート取得：ベンダーからセキュリティ報告書を定期的に入手する
• アクセス制御：アクセス権限を厳格に管理する
• リモートアクセスの一元化：単一のプログラムで自動化・管理する
• 監査の実施：定期的な監査を行う
• 継続的モニタリング：常時監視プロセスを確立する
• リスク分析：第三者がもたらすリスクを継続的に分析する

データ漏洩からデータを守る方法

• 最新のセキュリティソフトウェアでコンピュータを保護する
• リスクアセスメントを定期的に実施する
• データを暗号化してバックアップする
• 従業員への研修を実施し、最新情報を共有し続ける
• ベンダーやパートナーにもプライバシー保護の最新状況を周知する
• 第三者によるデータセキュリティ評価を受ける

サードパーティリスクを軽減するには

• 第三者のスクリーニング、オンボーディング、デューデリジェンスを実施する
• 第四者（サブコントラクター）まで含めたリスク把握を行う
• トップの姿勢（トーン・アット・ザ・トップ）を確立し、取締役会が監督する
• ITベンダーリスクを重点的に精査する
• 適切な予算と人員を確保する
• TPRMプログラムの有効性を定期的に評価する
• 成熟したTPRMプロセスを段階的に構築する

サードパーティリスク評価とは

組織はサプライチェーンの一環として常に第三者リスクにさらされています。サードパーティリスク評価は、こうしたリスクを体系的に分析するプロセスであり、TPRMプログラムの中核をなす要素です。

サードパーティリスク管理が重要な理由

TPRMサービスを活用することで、第三者がもたらすサイバーリスクを効果的に軽減できます。適切なTPRMプログラムを導入すれば、技術に関するビジネス判断が顧客や財務状況に与える悪影響を最小限に抑えることができます。

サードパーティベンダーリスクとは

第三者が組織が定めた財務パフォーマンス基準を満たせない場合、金銭的損失のリスクが生じます。ベンダーやシステムの障害による遅延や売上損失を回避するためにも、組織は継続的な監視体制をあらかじめ整備しておくことが不可欠です。