新規サービスのセキュリティ対策は何から始める？ガイドライン対応から規程・CSIRT整備までの進め方

新規サービスの立ち上げでは、開発や営業の準備が先行し、セキュリティ対策がリリース直前の確認事項になりがちです。しかし、運用開始後の見直しは、設計変更や追加費用、契約締結の遅れにつながるおそれがあります。

重要なのは、対策を場当たり的に追加するのではなく、「何を守るか」「どの基準を満たすか」「誰が運用するか」を一続きの流れで捉えることです。本記事では、リスク把握から規程・CSIRT整備までの手順を、支援事例とともに解説します。

1. 新規サービスでは、なぜ既存の対策だけでは足りないのか

新規サービスでは、既存のセキュリティ対策をそのまま適用できるとは限りません。なぜなら、顧客資料の保管、クラウドへのデータ送信、委託先への管理権限付与などにより、情報の流れと管理責任が大きく変わるためです。

情報漏えいだけでなく、データの改ざんやサービス停止も事業に影響します。まずは機密性・完全性・可用性の観点から、新サービスで生じるリスクを洗い出す必要があります。

そして、法人向けサービスでは、取引先から規程や委託先管理、事故時の連絡体制について説明を求められることもあります。そのため、製品を選ぶ前に、新サービス固有のリスクと、顧客・業界から求められる事項を明らかにすることが出発点と考えられます。

2. 守る対象を把握し、ガイドラインとのギャップを確認する

（1）情報・システムを整理し、リスクを特定する

最初に、新サービスの利用者、取り扱う個人情報・機密情報、保存先、外部連携先、委託先、管理者アカウントなどを整理することにより、既存事業との共通点と相違点を分けられ、重点的に確認すべき範囲が見えてきます。

次に、管理者アカウントの不正利用、委託先の設定ミス、重要データの消失などを想定し、発生可能性と影響を評価します。リスク評価の結果が、参照すべき基準と必要な対策を選ぶ材料になります。

（2）適用するガイドラインを選び、現状との差を明確にする

基準はサービス内容、対象業界、契約条件に合わせて選びます。主なガイドライン・規格は次のとおりです。

すべてを一律に適用せず、業界固有のガイドラインや契約上の要求事項も確認しましょう。そのうえで、「要求事項」「現状」「不足事項」「担当者・期限」を整理します。

開始前に対応が必要な事項と、開始後の改善事項を区別することが重要です。不足事項が明確になれば、次に何を規程・手順へ落とし込むべきかが定まります。

3. 不足事項を、実際に使える規程・手順に落とし込む

不足事項を現場任せにすると、担当者ごとに判断が異なるおそれがあります。そこで、経営層がセキュリティの基本方針と許容できないリスクを示し、アクセス権限、データの保存・削除、委託先管理、変更管理、バックアップ、事故報告などのルールを整えます。

文書は、目的に応じて次の三層で整理すると運用しやすくなります。

例えば権限管理では、規程に承認者を定め、手順書に申請・設定・点検・削除の流れを記載します。重要なのは、雛形を増やすことではなく、担当者が迷わず行動できる状態にすることです。

特に、事故時は平時と異なる判断が必要になるため、責任と報告ルートを機能させるよう、次にインシデント対応体制を整えます。

4. 規程を機能させるCSIRTの役割と人材を整える

CSIRT（Computer Security Incident Response Team）は、セキュリティインシデントへの対応を調整するための体制です。専任部署の設置は必須ではなく、規模やリスクに応じ、既存部署の兼務や外部専門家との連携で設計できます。

役割分担の一例

担当者だけでなく代行者も定め、規程の報告先と整合させます。対応手順は、検知・受付 → 重要度判断 → 被害拡大防止 → 復旧 → 必要な連絡・報告 → 再発防止といった流れで整理し、段階ごとの判断者を明確にします。なお、対応の順序は事案に応じて調整します。

体制を決めたら、メンバーが実際に動けるよう育成します。例えば、連絡訓練や想定事案に基づく演習を行い、そこで見つかった課題を手順書に反映します。規程整備と人材育成を並行して進めることで、ルールが形だけになるのを防ぎやすくなります。

こうして社内体制を整理すると、外部に任せるべき機能も見えてきます。

5. 社内で不足する監視・専門機能を外部で補う

自社だけで常時監視や高度な脅威分析を担うことが難しい場合は、SOC（Security Operation Center）などの外部サービスが選択肢となります。SOCは主に監視・検知・技術的な分析を担う機能であり、CSIRTは検知された事象に対する対応の調整や、社内外との連携を担います。両者は協力する関係ですが、SOCを契約するだけで、社内の判断体制まで整うわけではありません。

外部サービスでは、監視対象、対応時間、アラート通知、調査・封じ込めの範囲、費用を確認します。夜間に異常が検知された場合を想定し、「誰が通知を受けるか」「誰が事業影響を判断するか」「誰の承認でサービスを停止するか」まで決めておくことが重要です。

製品や委託先ありきではなく、社内体制を明確にしたうえで、不足する機能を外部で補う。これが責任の空白や重複を防ぐ基本とも言えます。

6.【支援事例】大手製造業の新規サービス立ち上げに伴う規程整備とCSIRTメンバー育成

こうした進め方の重要性は、実際のご相談からも見えてきます。

大手製造業のA社では、新規サービスの提供に向けて、関係する各業界のセキュリティガイドラインを精査し、サービス提供開始までに求められる事項を充足したいという課題を抱えていました。A社のIT成熟度は全社的には「成熟段階」にありましたが、新サービスに関する対応は相談時点で未着手でした。

IT管理の成熟度が高い企業でも、新たなサービスでは、扱う情報や関係部門、適用すべきガイドラインが変わります。既存の仕組みを生かせる部分があっても、新サービス固有の要求事項を整理し、必要なルールと担い手を整える作業は別途求められます。

RSM汐留パートナーズは初期段階から支援し、各種セキュリティ規程の整備とCSIRTメンバーの育成に取り組みました。規程の整備は、組織として守るべき事項や判断の基準を明確にするための基盤です。一方、メンバーの育成は、その基準を事故時の連携や対応につなげるために欠かせません。

本事例は、全社的なIT成熟度と新規サービスの準備状況が必ずしも一致しないことを示しています。また、ガイドライン対応を文書整備だけで終わらせず、運用を担う人材の育成と一体で考えることも重要です。なお、本事例は初期段階の支援内容を紹介したものであり、ガイドラインへの最終的な適合状況やサービス開始後の効果を示すものではありません。

7. サービス開始前に、対策が一つの流れとして機能するかを確認する

各対策は、独立した作業として認識してはいけません。リスク評価から導いた対応事項が規程に反映され、その規程に基づいてCSIRTの判断者が動き、必要に応じて外部委託先と連携できることが重要です。リリース前には、次の項目を順番に確認しましょう。

• 対象とリスク： 取り扱う情報・システム・委託先と、主なリスクを把握しているか
• 要求事項： 業界ガイドラインや契約条件を確認し、対応すべき事項を整理したか
• 規程と手順： 不足事項に対応する規程・手順書と、その担当者を定めたか
• CSIRT体制： 事故時の判断者・代行者・連絡経路が規程と一致しているか
• 外部との連携： 外部監視などを利用する場合、委託範囲と社内の責任分担を確認したか
• 運用準備： 教育・演習の計画を立て、残る課題の責任者と対応期限を決めたか

すべての対策を開始前に高度化する必要はありません。ただし、サービス開始前に満たすべき要求を残したままにしないこと、そして未対応リスクがある場合は内容・暫定措置・責任者・期限を明らかにして、判断することが大切です。開始後も定期的に点検し、必要に応じて改善します。

8. RSM汐留パートナーズのセキュリティ支援

新規サービスの安全な立ち上げには、「基準を確認する」「規程に落とし込む」「実行する人を育てる」という工程を一つの計画として進めることが求められます。対策の有無だけでなく、責任者と運用方法までつながっていることが、実効性を高めるポイントです。

RSM汐留パートナーズでは、ガイドラインに基づくギャップ分析、方針・計画の策定、情報セキュリティ管理体制の整備・改善を支援しています。また、社外CISOサービスを通じ、経営判断や継続的な運用に関する課題にも対応しています。新規サービスの開始に向けたセキュリティ対策にお悩みの場合は、現状把握と不足事項の整理からご相談ください。