導入事例｜情報・サービス業さま｜セキュリティ総合対策
ガイドラインとの差分を点数で示し、効果の高い順に手を付ける
RFPで示されたセキュリティ要求項目を、公的ガイドラインの基準に沿って一項目ずつ評価しました。対策後にどこまで上がるかを数値で示したうえで、効果の高い3領域に第一期を絞り、残りは次フェーズの候補として整理しています。
導入企業の概要
| 業種 | 情報・サービス業 |
|---|---|
| 規模 | 本社・支社・開発拠点／グループ会社を含む |
| 対象 | PC端末・ファイルサーバー・リモートアクセス |
| 対応範囲 | 要求事項の評価・対策設計・製品選定・導入・運用引き継ぎ |
| 主な構成 | エンドポイントセキュリティ、Windows認証基盤、ファイルサーバー、アクセスログ監査、リモートアクセス（クライアント証明書） |
構成
課題
- 公的ガイドラインに沿って全社的にセキュリティレベルを底上げしたいが、どこから手を付けるべきか優先順位を決められなかった。
- 端末のOSエディションや暗号化、更新の適用状況がそろっておらず、紛失や感染が起きたときの影響範囲を見積もれなかった。
- ファイルサーバーの権限が利用者単位で整理されておらず、誰がいつどのファイルを開いたかを後から追えなかった。
- 在宅・外出先からの接続に端末の縛りがなく、どの端末からでもつながる状態だった。
解決策
現状のセキュリティアセスメント
ガイドラインと要求事項を一覧にし、現状を項目ごとに評価しました。いまのレベルと対応の要否を数値でご認識いただくところから始めています。
セキュリティ対策の優先順位を整理する
対策後にどこまで上がるかを示したうえで優先順位を整理し、適切に投資できる形にしました。次期以降に段階的に進めるロードマップもあわせて提示しています。
優先度の高い外部アクセスと、認証・権限を強化する
端末の防御、IDとファイルサーバーの権限・ログ、リモートアクセスの端末認証に投資を集中。既存のUTMや回線はそのまま活かしました。
効果
- 対策の前後の差が数値で見えるようになり、経営層への説明がしやすくなった。
- 退職者のIDを止めれば、ファイルサーバーもリモート接続も同時に遮断できるようになった。
- 会社が配布した証明書を持つ端末以外は、社内につながらなくなった。