「セキュリティ対策は実施していますか？」
この質問に対しては、多くの企業が「はい」と答えられるでしょう。
ファイアウォールによるネットワーク対策、ウイルス対策ソフトやEDRによる端末対策、多要素認証による認証強化など、さまざまなセキュリティ対策を講じている企業は少なくありません。
では、次の質問はいかがでしょうか。
「セキュリティ運用はできていますか？」
この問いには、少し考え込んでしまう方も多いのではないでしょうか。
例えば、
- 退職者のアカウントが残ったままになっていないか
- 更新プログラム（パッチ）は適切に適用できているか
- バックアップから正常に復元できるか確認しているか
- ログを定期的に確認しているか
- インシデントが発生した際の対応手順が整理されているか
これらは、セキュリティ製品を導入しただけでは解決できません。
「導入した対策を継続的に機能させること」
これが、セキュリティ運用の役割です。
「製品は導入したけれど、本当にこれで十分なのだろうか。」
そんな不安を感じたことがある方もいるかもしれません。
近年では、サイバー攻撃の高度化に加え、取引先からのセキュリティチェックシートへの回答や、情報セキュリティ体制の説明を求められる機会も増えています。
ISMSの運用やサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）への対応を考えるうえでも、対策の実施状況を説明できる体制が重要になります。
だからこそ今、IT担当者には「何を導入するか」だけではなく、「どう運用するか」という視点が求められています。
この記事を読むと分かること
この記事では、セキュリティ運用業務の中でも、IT担当者がまず押さえておきたい代表的な内容として、次の内容を分かりやすく解説します。
- セキュリティ対策とセキュリティ運用の違い
- IT担当者がまず見直すべき代表的な運用
- 運用設計が必要な理由
セキュリティ対策とセキュリティ運用の違いを理解し、自社の運用を見直すポイントや、運用設計の考え方を知るきっかけとなる内容です。
目次
1．セキュリティ運用とは？セキュリティ対策との違いを理解しよう
4.セキュリティ運用を定着させるには「運用設計」が欠かせない
セキュリティ運用とは？セキュリティ対策との違いを理解しよう
「セキュリティ運用」と「セキュリティ対策」は、似た意味で使われることがあります。
しかし、この2つは役割が異なります。
セキュリティ対策とは、情報資産やシステムを守るための手段です。
例えば、
-
ウイルス対策ソフトを導入する
-
ファイアウォールを設置する
-
多要素認証（MFA）を利用する
-
EDRを導入する
といった取り組みが該当します。
一方、セキュリティ運用とは、導入した対策が継続して機能するように管理・改善する活動です。
例えば、
- アカウントの棚卸しを定期的に行う
- 更新プログラムの適用状況を確認する
- バックアップから復元できるか確認する
- ログを確認し、不審な挙動がないかチェックする
- インシデント対応手順を定期的に見直す
こうした日々の取り組みが、セキュリティ運用にあたります。
つまり、セキュリティ対策は「手段」、セキュリティ運用は「回る仕組み」です。
例えば、EDRを導入していても、アラートを確認する担当者や対応手順が決まっていなければ、本来の効果を十分に発揮することはできません。
また、退職した社員のアカウントが削除されていなかったり、更新プログラムが長期間適用されていなかったりすれば、せっかく導入したセキュリティ対策も十分に機能しているとは言えないでしょう。
重要なのは、
「導入したこと」ではなく、「運用できていること」です。
「やっています」と「説明できます」は違う
例えば、取引先からセキュリティチェックシートへの回答を求められたとき、
「パッチは適用しています。」
この回答だけで十分でしょうか。
実際には、
- いつ実施したのか
- 誰が確認したのか
- どのシステムが対象なのか
- 未適用のシステムはあるのか
まで説明できて初めて、「継続して運用できている」と言えます。
つまり、「やっています」と「説明できます」は違います。
この違いは、監査やチェックシートへの対応だけではありません。
担当者が変わったときでも同じ品質で運用を続けられるかどうかにも関わります。
「説明できる状態」を目指すことが、属人化を防ぎ、継続的なセキュリティ運用につながる第一歩なのです。
なぜセキュリティ対策だけでは不十分なのか
「ファイアウォールもあるし、EDRも導入した。これで安心。」
本当にそうでしょうか。
セキュリティ製品は、企業の情報資産を守るために欠かせない存在です。しかし、製品を導入しただけではセキュリティ運用は成り立ちません。
例えば、EDRが不審な挙動を検知してアラートを出したとしても、
- 誰がアラートを確認するのか
- どのような基準で優先度を判断するのか
- 誰へ報告するのか
- どのような手順で対応するのか
が決まっていなければ、適切な初動対応はできません。
つまり、製品は「検知する」「防ぐ」ことはできても、「判断する」「運用する」ことまではできないのです。
だからこそ、セキュリティ対策とあわせて「運用」を考える必要があります。
製品だけでは解決できない課題
セキュリティ運用の現場では、次のような悩みがよくあります。
- アラートは届いているが、毎日確認できていない
- 更新プログラムを適用したか分からなくなる
- ログは保存しているが、誰も確認していない
- インシデント対応手順はあるが、一度も見直していない
どれも、セキュリティ製品の性能が原因ではありません。
問題なのは、「誰が」「いつ」「どのように」運用するかが決まっていないことです。
例えば、更新プログラムを適用するルールがあっても、担当者しか状況を把握していなければ、担当者が不在になった途端に運用は止まってしまいます。
製品を導入することと、それを継続して活用できることは別の話なのです。
属人化が招くリスク
「この作業は○○さんしか分からない。」
IT部門では、こうした状況が少なくありません。
例えば、
- ログ確認はベテラン担当者しかできない
- パッチ適用の判断は特定の担当者に任せている
- バックアップの復元方法を知っている人が一人しかいない
このような状態では、担当者が休暇を取ったり異動したりしただけで、運用が滞ってしまいます。
さらに、担当者ごとに判断基準が異なると、対応品質にもばらつきが生じます。
セキュリティ運用で目指すべきなのは、「担当者が頑張ること」ではありません。
誰が担当しても、同じ品質で運用できることです。
そのためには、担当者個人の経験や勘に頼るのではなく、組織として運用を仕組み化する必要があります。
運用設計という考え方
では、担当者に依存しない運用はどのように実現すればよいのでしょうか。
そこで重要になるのが運用設計です。
運用設計とは、ITシステムを「生かして使うため」の考え方です。
具体的には、
- 誰が担当するのか
- いつ確認するのか
- 何を確認するのか
- どのように記録するのか
- どのタイミングで見直すのか
といったルールを整理し、運用を仕組みとして定着させることを目的としています。
例えば、アカウント管理であれば、
「四半期ごとに棚卸しを実施する」
「異動・退職時は権限を見直す」
といったルールを決めておけば、担当者が変わっても同じ品質で運用できます。
パッチ管理であれば、更新対象を一覧化し、適用状況を記録することで、「誰が見ても分かる状態」を維持できます。
つまり、運用設計とは、「人」が運用していた状態を、「仕組み」が運用できる状態へ変えることなのです。
ここまで読むと、
「では、具体的に何を運用すればよいのだろう？」
と思った方もいるかもしれません。
次に、IT担当者がまず見直したい5つの基本運用について見ていきましょう。
💡 運用設計について、もっと詳しく知りたい方へ
本記事では、運用設計の概要をご紹介しています。
「なぜ運用設計が必要なのか」「セキュリティ対策を継続して"回る仕組み"にするにはどう考えればよいのか」を詳しく知りたい方は、セミナーアーカイブをご覧ください。
IT担当者がまず見直したい5つの基本運用
セキュリティ運用にはさまざまな業務があります。
本記事で紹介する5つは、その中でもIT担当者がまず押さえておきたい代表的な基本運用です。
業種や企業規模によって必要な運用は異なりますが、まずはこれらを見直すことで、自社のセキュリティ運用課題を整理する第一歩になります。
その中でも、まず見直したいのが次の5つです。
どれか一つだけを実施すれば十分というものではありません。
これらを継続的に運用し、「確認・記録・見直し」のサイクルを回していくことが、安定したセキュリティ運用につながります。
①アカウント管理｜退職者のアカウントが残っていませんか？
「退職した社員のアカウントが残ったままになっていた。」
こうした事例は、決して珍しくありません。
アカウント管理とは、誰がどのシステムを利用できるのか、どの権限を持っているのかを適切に管理することです。
人事異動や組織変更、新しいシステムの導入などに合わせて、アカウントや権限も変化します。
しかし、一度設定したまま見直さなければ、不要なアカウントや過剰な権限が残り、不正アクセスや情報漏えいにつながる可能性があります。
また、権限管理を担当者一人だけが把握している状態では、担当者が不在になった際に迅速な対応ができません。
見直したいポイント
- 利用していないアカウントが残っていないか
- 権限が現在の業務内容に合っているか
- 異動・退職時の変更ルールが決まっているか
- 権限変更の履歴を記録しているか
アカウント管理は、「作る」「削除する」で終わるものではありません。
定期的に棚卸しを行い、適切な状態を維持することが重要です。
②パッチ管理｜「更新通知が来ているけれど、あとで…」になっていませんか？
「更新通知は来ているけれど、今日は忙しいから来週にしよう。」
IT担当者であれば、一度はこんな経験があるのではないでしょうか。
OSやソフトウェアの更新プログラム（パッチ）は、脆弱性の修正や機能改善のために提供されます。
しかし、更新を後回しにしている間にも、新たな攻撃手法が公開されることがあります。
もちろん、すべての更新をすぐに適用できるとは限りません。業務システムへの影響を考慮し、事前検証が必要なケースもあるでしょう。
そのため重要なのは、公開情報や自社ルールに基づき、優先度を決めて計画的に進めることです。
また、「適用したつもり」になっていても、実際には一部のサーバーだけ更新が漏れていた、というケースも珍しくありません。
そのため、担当者の記憶だけに頼るのではなく、一覧で管理し、状況を把握できる状態にしておくことが重要です。
見直したいポイント
- 更新対象を一覧で管理しているか
- 適用状況を記録しているか
- 未適用のシステムを把握できているか
- 更新後の動作確認まで実施しているか
重要なのは、「更新すること」ではなく、「更新状況を説明できること」です。
③バックアップ管理｜「毎日バックアップしているから安心」と思っていませんか？
「バックアップは毎日取得しているので大丈夫です。」
現場では、よく聞く言葉です。
でも、本当にそうでしょうか。
バックアップの目的は、データを保存することではありません。
必要なときに、確実に復元できることです。
例えば、
- バックアップファイルが破損していた
- 保存先が分からなかった
- 復元手順を誰も知らなかった
という状態では、バックアップを取得していても意味がありません。
また、ランサムウェアやシステム障害が発生した際は、「バックアップがあります」と言うだけでは業務は再開できません。
「いつでも復元できる状態」があって初めて、バックアップが機能していると言えます。
見直したいポイント
- バックアップが正常に取得できているか
- 定期的に復元確認を実施しているか
- 保存先や保存期間を把握しているか
- バックアップ運用を記録しているか
取得して終わりではなく、復元できることまで含めて運用と考えましょう。
④ログ管理｜ログは「取得している」だけになっていませんか？
「ログは保存しています。」
では、そのログを最後に確認したのはいつでしょうか。
ログとは、システムやネットワーク機器、クラウドサービスなどに記録される操作履歴やアクセス履歴のことです。
ログは、異常を早期に発見するだけでなく、インシデントが発生した際に原因を調査したり、「どのような運用をしていたのか」を説明したりするための重要な証跡になります。
例えば、深夜に管理者アカウントへの不審なアクセスがあったとしても、ログを確認する仕組みがなければ、その事実に気付くことはできません。
また、取引先や監査から「どのような運用をしていますか」と聞かれた際にも、ログは客観的な証拠になります。
見直したいポイント
- 重要なログを取得できているか
- 定期的に確認するルールがあるか
- 異常時の対応手順が決まっているか
- 確認結果を記録しているか
ログは「取得すること」が目的ではありません。
運用状況を説明するための証跡として活用することが重要です。
⑤インシデント対応｜もし今日、ランサムウェアに感染したら？
突然ですが、今日の午後、自社のサーバーがランサムウェアに感染したとします。
そのとき、
- 誰が最初に対応しますか？
- 誰へ連絡しますか？
- 何を優先して確認しますか？
すぐに答えられるでしょうか。
どれだけセキュリティ対策を強化しても、インシデントが発生する可能性をゼロにすることはできません。
だからこそ重要なのは、「発生してから考える」のではなく、「発生する前に備えること」です。
対応手順や役割分担が決まっていれば、慌てずに初動対応を進めやすくなります。
また、システムが利用できない状況も想定し、連絡手段や代替手順を整理しておくことも重要です。
見直したいポイント
- 初動対応の役割分担が決まっているか
- 連絡先や報告先を整理しているか
- 対応手順を文書化しているか
- システムが利用できない場合の代替手順を整理しているか
インシデント対応は、「起きた後の対応」ではなく、起きる前の準備が重要です。
5つの基本運用に共通する考え方
ここまで紹介した5つの基本運用は、それぞれ対象が異なります。
しかし、どの運用にも共通している考え方があります。
それが、
- 確認する
- 記録する
- 見直す
という3つのサイクルです。
例えば、
アカウント管理では、権限を確認し、変更履歴を記録し、定期的に棚卸しを行います。
パッチ管理では、適用状況を確認し、更新履歴を記録し、未適用の理由を見直します。
バックアップ管理では、取得状況を確認し、復元結果を記録し、運用方法を見直します。
ログ管理では、確認結果を記録し、異常があれば対応方法を改善します。
インシデント対応では、発生時の対応内容を記録し、再発防止に向けて手順を見直します。
このように、対象は違っても、運用の基本は同じです。
そして、このサイクルを担当者の経験や勘だけに頼るのではなく、誰が担当しても継続できる仕組みとして定着させることが、次に紹介する「運用設計」につながります。
セキュリティ運用を定着させるには「運用設計」が欠かせない
ここまで紹介した5つの基本運用は、どれもセキュリティ運用に欠かせない取り組みです。
しかし、それぞれを個別に実施しているだけでは、安定した運用につながるとは限りません。
例えば、
- アカウント管理は定期的に見直しているが、ログ確認は担当者任せになっている
- パッチは適用しているが、適用状況を記録していない
- バックアップは取得しているが、復元確認は実施していない
- インシデント対応手順はあるものの、誰が対応するのか決まっていない
このように、運用項目ごとにルールや実施状況がばらばらでは、担当者が変わったときや緊急時に品質を維持することが難しくなります。
そこで重要になるのが運用設計です。
運用設計とは、ITシステムを「生かして使うため」の考え方です。
難しい仕組みを新たに作ることではありません。
日々行っている運用を整理し、誰が担当しても同じ品質で実施できる状態をつくることが目的です。
例えば、
- 誰が担当するのか
- いつ確認するのか
- 何を確認するのか
- どのように記録するのか
- どのタイミングで見直すのか
を決めておくだけでも、担当者への依存を減らし、継続しやすい運用につながります。
運用設計を考える際は、次の4つのステップで整理すると分かりやすくなります。
1. 見える化
まずは現在の運用を整理します。
「誰が」「何を」「どのように」実施しているのかを把握しなければ、改善すべき点も見えてきません。
2. 標準化
担当者ごとのやり方ではなく、誰でも同じ手順で実施できるルールを整備します。
これにより、担当者が変わっても品質を維持しやすくなります。
3. 自動化
標準化した運用の中から、自動化できる部分をツールで効率化します。
ここで注意したいのは、最初から自動化を目指さないことです。
ルールが曖昧なまま自動化しても、運用品質は安定しません。
4. 継続的な改善
運用は、一度ルールを決めたら終わりではありません。
定期的に見直しを行い、環境の変化や新たなリスクに合わせて改善を続けることが重要です。
この4つのステップは、一度実施して終わりではありません。
PDCAを回しながら継続的に改善することで、環境やリスクの変化にも対応できる運用になります。
つまり、
セキュリティ製品は「手段」、運用設計はその手段を継続して機能させるための土台なのです。
📌 「やっています」で終わっていませんか？
本記事では、セキュリティ運用で押さえておきたい基本的な考え方をご紹介しました。
実際の現場では、「誰が」「いつ」「何を」「どのように確認し」「どう改善するか」を設計することが、継続して運用できる"回る仕組み"につながります。
運用設計についてさらに詳しく学びたい方は、セミナーアーカイブをご覧ください。
セキュリティ運用とは、セキュリティ製品を導入することではありません。
導入した対策を継続して機能させ、安全な状態を維持するための「回る仕組み」をつくることです。
本記事では、IT担当者がまず見直したい基本運用として、次の5つを紹介しました。
- アカウント管理
- パッチ管理
- バックアップ管理
- ログ管理
- インシデント対応
どの運用にも共通して重要なのは、
- 確認する
- 記録する
- 見直す
というサイクルを継続することです。
そして、そのサイクルを担当者の経験や勘だけに頼るのではなく、誰が担当しても同じ品質で実施できる仕組みへ整理していく考え方が運用設計です。
「セキュリティ対策を導入している」ことと、「セキュリティ運用ができている」ことは同じではありません。
まずは、自社の運用を振り返ることから始めてみてはいかがでしょうか。
見直す際は、「対策を導入している」だけでなく、「どのように運用しているか」を説明できる状態になっているかという視点で見直してみることが大切です。
こうした運用設計の考え方は、日々のセキュリティ運用だけでなく、ISMSの運用や、取引先から求められるセキュリティチェックシートへの対応を考える際にも役立ちます。
こうした視点を持つことで、継続的に改善できるセキュリティ運用へとつなげることができます。まずは、自社の運用を「説明できる状態」になっているかという視点で振り返ってみてはいかがでしょうか。
あなたの会社は大丈夫ですか？
次の項目をチェックしてみましょう。
- □ アカウントの棚卸しを定期的に実施している
- □ パッチ適用状況を記録し、説明できる
- □ バックアップの復元確認を定期的に実施している
- □ ログを定期的に確認し、結果を記録している
- □ インシデント対応手順が文書化されている
- □ 担当者が変わっても同じ品質で運用できる
チェックが4個未満だった場合は、運用設計を見直すことで改善できる余地があるかもしれません。まずは、チェックできなかった項目から優先的に見直してみましょう。
本記事では、「何を運用するか」を中心に、セキュリティ運用の基本的な考え方と、IT担当者が押さえておきたい代表的な5つの基本運用について紹介しました。
一方、実際の現場では、「誰が」「いつ」「何を」「どのように確認し」「どう改善するか」まで設計することが重要になります。
例えば、
- 役割をどのように決めるのか
- 運用ルールをどのように設計するのか
- 「確認・記録・見直し」のサイクルをどのように定着させるのか
- ISMSの運用やSCS評価制度を踏まえた運用体制をどのように構築するのか
といった内容まで考える必要があります。
本記事では考え方をご紹介しましたが、実務では「どう設計するか」が重要です。
本記事でご紹介した「セキュリティ運用」や「運用設計」について、さらに詳しく学びたい方向けに、無料でご覧いただけるセミナーアーカイブをご用意しています。
運用設計の基本的な考え方から、ISMS取得企業向けの実践的な内容まで、目的に応じてご覧いただけます。
セミナーアーカイブ（全2回）
本記事でご紹介した内容をさらに深く学べるよう、2部構成のセミナーアーカイブをご用意しています。
講師紹介
本セミナーは、『運用設計の教科書［改訂新版］』の著者であり、ITサービスマネジメントや運用設計分野で多数の講演・企業向け研修を行っている近藤 誠司氏が解説しています。
ご自身の状況に合わせてご覧ください。
ぜひあわせてご活用ください。
☆セミナーアーカイブ☆
まずは「運用設計とは何か」を知りたい方へ
セキュリティ対策を「導入して終わり」にせず、継続して機能する仕組みにするためには、運用設計という考え方が欠かせません。
第1弾のセミナーアーカイブでは、SCS評価制度を題材に、運用設計が必要な理由や、継続して"回る仕組み"をつくるための考え方について解説しています。
ISMS取得企業で、さらに実践的な運用設計を知りたい方へ
第2弾のセミナーアーカイブでは、ISMS取得企業を対象に、既存の運用をどのように活かしながらSCS評価制度へ対応していくのか、実務に落とし込むための考え方を解説しています。
