脆弱性の点検を外に頼む。範囲の決め方と、人材を置くかの判断

取引先から「セキュリティの点検はしていますか」と聞かれました。していません。社内に詳しい人もいません。何をどこに頼めばいいのかも分からないまま、見積を三社に依頼することになりました。

この状態で見積を取ると、金額の大小でしか判断できません。範囲が違えば、金額も当然違います。ここでは、外に脆弱性の点検を頼むときの範囲の決め方、出てきた結果の読み方、そして社内に人材を置くかどうかの判断までを並べます。従業員が数人の会社を前提にします。

何を見てほしいのかを先に書く

「一式お願いします」と頼むと、見積は比べられなくなります。

対象を紙に書き出してください。公開しているサイト、その裏にある管理画面、外から入れる口、社内の端末。この四つに分けて、今回どれを見るかに丸を付けます。全部にする必要はありません。

初めてなら、公開しているサイトと管理画面の二つで十分です。ここがいちばん狙われ、いちばん影響が出ます。

範囲を絞ったうえで、継続して見てもらう形の費用も比べてください。Webセキュリティサービス【SiteLock（サイトロック）】をご入力下さい。 のように脆弱性の診断と改ざんの監視を月額で続け、見つかったマルウェアの駆除まで含む形なら、一度きりの点検より状態を保ちやすくなります。

一度きりか、続けるかを決める

点検は、受けた日の状態しか分かりません。

翌週に新しい問題が公表されれば、その時点でまた古くなります。一度きりの点検が無駄だとは言いませんが、報告書を受け取って安心するための費用にはしないでください。続けて見る形にするか、年に一度と決めて回すか。どちらかを先に決めます。

続ける形にすると、一回あたりの金額は下がります。総額では増えることもあるので、そこは正直に見比べてください。

見積で確かめる四つのこと

金額の前に、中身をそろえます。

見るのは、対象の範囲、手法、報告書の形、そして再点検が含まれるかどうか。この四つです。特に再点検は抜けがちで、直したあとに直ったかを確かめる作業が別料金になっていることがあります。

手法については、道具を使った自動の検査だけなのか、人が手を動かす検査が入るのかを聞いてください。金額差の大半はここにあります。

結果は、危険度の高いものから三つだけ見る

報告書は分厚く届きます。全部読もうとすると、読まずに終わります。

危険度が高いと書かれたものだけ抜き出してください。たいてい三つから五つです。まずそこだけ直します。低いものは、次の改修のときにまとめて片付ければ足ります。

読むときの注意は、「不正アクセスにつながる」と書かれているものを最優先にすることです。表示が崩れる程度の指摘は、後回しで構いません。

直すのは誰かを決めてから頼む

報告書を受け取っても、直す人がいなければ何も変わりません。

作った制作会社に頼むのか、点検した先にそのまま直してもらうのか、自分で直すのか。これを頼む前に決めておいてください。決めずに点検だけ先に走ると、直せない指摘の一覧が手元に残ります。

制作会社との契約に、脆弱性が見つかったときの対応が含まれているかも確かめてください。含まれていないことのほうが多い。

社内に分かる人を置くかどうか

外に頼み続けるか、中に人を持つか。分かれ道はここです。

年に何回も点検や改修が発生するなら、中に一人いたほうが早くなります。逆に、年に一度で足りる規模なら、外に頼むほうが安く済みます。判断の目安は、外に払っている金額が、一人分の人件費に近づいたかどうかです。

中に置くと決めたなら、採用の準備が要ります。この分野の人材は求人を出しても集まりにくく、転職市場でも取り合いになっています。社内SEの待遇や年収を知りたい方は【社内SE転職ナビ】 のように社内で情報システムを担う人に特化した転職の支援を使うと、業務内容の書き方から相談できます。人手が足りない状態で募集要項を書くと、たいてい実態と合わないものになります。

兼任させるなら、時間を確保する

「詳しそうだから」という理由で兼任させるのは、いちばん危ない形です。

本業のかたわらで点検の窓口をやらされた人は、たいてい一年で離職を考えます。任せるなら、週に何時間かを正式に空けてください。空けられないなら、外に頼むほうが正直です。

研修や資格の費用も、任せると決めたなら出してください。「詳しいから」で押し付けたまま何も学ばせないと、本人の判断も古くなります。

一人に集中させない工夫も要ります。その人が休んだ日に何も分からなくなる状態は、外に頼んでいるのと変わりません。

取引先への答え方も用意しておく

聞かれるのは、今回で最後ではありません。

点検を受けた日付、範囲、対応した内容。この三行を用意しておけば、次に聞かれたときすぐ答えられます。詳しい報告書をそのまま渡す必要はありません。渡しすぎると、こちらの弱点を配ることになります。

聞かれる前に一度、こちらから伝えておくという手もあります。取引先の側でも同じ質問を全社に出しているので、先に答えておくと担当者の手間が減り、印象も残ります。

よくある質問

Q. 点検の範囲はどう決めればよいですか。

A. 初めてなら、公開しているサイトと管理画面の二つで十分です。ここがいちばん狙われます。

Q. 一度点検すれば当面は安心ですか。

A. 受けた日の状態しか分かりません。続けて見る形にするか、年に一度と決めて回すかを先に決めてください。

Q. 報告書のどこから読めばよいですか。

A. 危険度が高いものだけです。特に不正アクセスにつながると書かれた指摘を先に直してください。

Q. 社内に担当を置くべきですか。

A. 外に払っている金額が一人分の人件費に近づいたら検討時期です。兼任させるなら、週の時間を正式に確保してください。

まとめ

範囲を先に書く。四つに分けて、今回見るところに丸を付けます。

一度きりか続けるかを決める。報告書で安心するための費用にしないでください。

見積は、範囲、手法、報告書の形、再点検の有無の四つで比べます。

結果は危険度の高いもの三つだけ。不正アクセスにつながる指摘が最優先です。

直す人を決めてから頼む。中に人材を置くかは、外への支払額が目安になります。