【連載第9回】継続的改善！点検・監査とPDCAサイクル
ここまでの連載で、基本方針の策定、リスク分析、各種対策の実施、インシデント対応まで解説してきました。しかし、セキュリティ対策は「一度やったら終わり」ではありません。
第9回では、対策の実効性を定期的に確認し、継続的に改善するための仕組みを解説します。
なぜ継続的改善が必要なのか
サイバー攻撃の手口は日々進化しています。1年前には有効だった対策が、今日では不十分になっていることも珍しくありません。また、組織の変化（従業員の増減、新サービスの利用開始、業務プロセスの変更）に伴い、セキュリティリスクも変化します。
より現実的な理由は、対策が静かに壊れることです。 攻撃側の進化を待つまでもなく、次のような形で実効性は失われていきます。
- ウイルス対策ソフトのライセンスが切れ、更新が止まった端末が数台ある
- バックアップのジョブが3ヶ月前からエラーで終了している
- MFAを免除した「一時的な例外」が、1年後もそのまま残っている
- 退職した社員のアカウントが、引き継ぎの都合で有効なまま放置されている
いずれも導入時には正しく設定されていたものです。点検の目的は新しい脅威への追随よりも、すでにやったことが今も動いているかの確認にあります。
PDCAサイクルの実践
Plan（計画）
- セキュリティ目標の設定
- リスクアセスメントの実施
- 対策計画の策定
Do（実行）
- 対策の実施
- 従業員教育の実施
- ルールの運用
Check（点検）
- 自社診断25項目の再実施
- ログの確認
- ルールの遵守状況の確認
- インシデントの発生状況の分析
Act（改善）
- 問題点の是正
- ルール・規程の見直し
- 新たなリスクへの対応策の策定
中小企業でもできる点検方法
日常点検（毎日〜毎週）
- ウイルス対策ソフトの定義ファイル更新状況
- 不審なログイン試行の有無
- バックアップの成功確認
定期点検（四半期〜半年ごと）
- 自社診断25項目の再実施
- アカウントの棚卸し（退職者のアカウントが残っていないか）
- クラウドサービスの共有設定の確認
- セキュリティパッチの適用状況
年次点検
- セキュリティポリシー・規程の見直し
- リスクアセスメントの再実施
- 従業員教育の実施
- インシデント対応訓練
日常点検は、人が毎日見る前提にしないでください。 兼任のIT担当者が毎朝ログを確認する運用は続きません。異常時にだけ通知が飛ぶ設定にして、通知が来なければ正常と判断できる状態を作ります。バックアップの成否も、成功通知ではなく失敗時のみ通知にすると見落としが減ります。
点検を「数えられる形」にする
「実施した／していない」の記録だけでは、改善したかどうかが分かりません。数で追える指標を数個決めてください。
| 指標 | 目標 | 確認方法 |
|---|---|---|
| MFA未登録者数 | 0人 | 管理センターのレポート |
| 更新プログラム未適用の端末数 | 0台 | 資産管理ツール、MDM |
| 退職者アカウントの残存数 | 0件 | 人事の在籍者一覧との突合 |
| バックアップの失敗件数 | 0件 | ジョブの実行結果 |
| 有効期限切れの外部共有リンク数 | 減少傾向 | 管理センターのレポート |
すべてを「0」にする必要はありません。 前回より減っているか、増えているかが分かれば、経営への報告材料になります。数字がないまま「対策を進めています」と説明しても、判断のしようがありません。
誰が点検するかを決める
自己点検には限界があります。 設定した本人が確認すると、「設定したはずだ」という前提で見てしまい、実際の画面を開かないまま「実施済み」と記録されがちです。
- 設定した人と点検する人を分ける — 情シスが複数名いるなら相互に確認する
- 1人しかいない場合は、実際の画面のスクリーンショットを記録する — 「確認した」という記憶ではなく、証跡を残す
- 外部の目を年1回入れる — 保守ベンダーや外部委託先に、設定状況の確認だけ依頼する方法もあります
是正が進まない原因を切り分ける
点検で問題が見つかっても、放置されるケースは多くあります。理由によって打ち手が違います。
- 予算がない → 経営判断が必要な項目として整理し、リスクと金額を添えて上申する
- 担当者の時間がない → 外部委託できる作業を切り出す。設定変更だけでも保守ベンダーに依頼できる場合があります
- やり方が分からない → 調査タスクとして期限付きで切り出す
- 業務が止まるので手を付けられない → 影響範囲を確認し、実施日を業務閑散期に設定する
「対応しないと決めた」も、記録として残す価値があります。 リスクを認識したうえで受け入れたのか、単に忘れられているのかを区別できます。
見直しのきっかけを決めておく
定期点検とは別に、次のことが起きたら見直すというルールを決めておくと、実態とのずれを防げます。
- 組織変更・人員の増減（部署の統廃合でアクセス権がずれる）
- 新しいクラウドサービスの導入
- 委託先の変更
- 法令・ガイドラインの改正
- 自社または同業でのインシデント発生
記録の残し方
点検の記録は、次に見る人が再現できる形で残してください。 ISMSやPマークを取得している場合は審査でも確認されますが、取得していなくても、担当者が交代したときに引き継げるかという実務上の価値があります。
- いつ、誰が、何を確認したか
- 確認した画面や出力（スクリーンショット、CSV）
- 見つかった問題と、その後の対応
- 対応しないと判断した項目と、その理由
インシデントが発生しなかった年も記録を残してください。 「対策していた」ことの証明になります。
まとめ
- 点検の目的は新しい脅威への追随より、すでにやったことが今も動いているかの確認
- 対策は静かに壊れる — ライセンス切れ、バックアップの失敗、放置された一時的な例外
- 日常点検は異常時のみ通知にする。毎日人が見る運用は続かない
- MFA未登録者数・未適用端末数・退職者アカウント残存数など、数で追える指標を数個決める
- すべてを0にする必要はない。前回との増減が経営への報告材料になる
- 設定した人と点検する人を分ける。1人なら画面のスクリーンショットを証跡として残す
- 是正が進まない原因を予算・時間・知識・業務影響に切り分け、打ち手を変える
- 「対応しないと決めた」も記録する。受け入れたのか忘れられたのかを区別できる
- 定期点検とは別に、組織変更・新サービス導入・委託先変更・法改正を見直しの契機にする
- 記録は担当者が交代しても再現できる形で残す。無事故だった年の記録も価値がある
PDCAサイクルの「C（チェック）」と「A（改善）」を怠ると、せっかく構築した対策が形骸化します。四半期に1回、自社診断25項目を再実施するだけでも、継続的改善の第一歩になります。
次回（最終回）では、ここまでの連載を総括し、SECURITY ACTION二つ星の取得方法を解説します。
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。