【連載第9回】継続的改善！点検・監査とPDCAサイクル
ここまでの連載で、基本方針の策定、リスク分析、各種対策の実施、インシデント対応まで解説してきました。しかし、セキュリティ対策は「一度やったら終わり」ではありません。
第9回では、対策の実効性を定期的に確認し、継続的に改善するための仕組みを解説します。
なぜ継続的改善が必要なのか
サイバー攻撃の手口は日々進化しています。1年前には有効だった対策が、今日では不十分になっていることも珍しくありません。また、組織の変化（従業員の増減、新サービスの利用開始、業務プロセスの変更）に伴い、セキュリティリスクも変化します。
PDCAサイクルの実践
Plan（計画）
- セキュリティ目標の設定
- リスクアセスメントの実施
- 対策計画の策定
Do（実行）
- 対策の実施
- 従業員教育の実施
- ルールの運用
Check（点検）
- 自社診断25項目の再実施
- ログの確認
- ルールの遵守状況の確認
- インシデントの発生状況の分析
Act（改善）
- 問題点の是正
- ルール・規程の見直し
- 新たなリスクへの対応策の策定
中小企業でもできる点検方法
日常点検（毎日〜毎週）
- ウイルス対策ソフトの定義ファイル更新状況
- 不審なログイン試行の有無
- バックアップの成功確認
定期点検（四半期〜半年ごと）
- 自社診断25項目の再実施
- アカウントの棚卸し（退職者のアカウントが残っていないか）
- クラウドサービスの共有設定の確認
- セキュリティパッチの適用状況
年次点検
- セキュリティポリシー・規程の見直し
- リスクアセスメントの再実施
- 従業員教育の実施
- インシデント対応訓練
まとめ
PDCAサイクルの「C（チェック）」と「A（改善）」を怠ると、せっかく構築した対策が形骸化します。四半期に1回、自社診断25項目を再実施するだけでも、継続的改善の第一歩になります。
次回（最終回）では、ここまでの連載を総括し、SECURITY ACTION二つ星の取得方法を解説します。
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。