取引先から、突然こう言われることがあります。
「セキュリティの確認書類にご回答ください」
開いてみると、見慣れない項目が並んでいます。
- ウイルス対策の状況
- 基本ソフトの更新
- パスワードの管理
- バックアップ
- アカウントの管理
- 利用しているクラウドのサービス
- 誰がどこまで見られるか
- 情報の管理方法
「うちはちゃんとやっているはずだけど……」
そう思っても、何を確かめれば答えられるのかが分かりません。しかも、たいてい期限が短いです。
最初にやることは、いきなり書き始めないことです
期限が迫っていると、とりあえず埋めてしまいたくなります。
そこから始めないでください。理由は2つあります。
① 間違った回答は、あとで問題になります
「やっているはず」で丸を付けて、実際はやっていなかった場合。何か起きたときに、「回答と違う」という話になります。
② 書けない項目は、調べないと埋まりません
推測で埋めても、次に別の取引先から同じ書類が来たときに、また同じところで詰まります。
次にやることは、項目を3つに分けることです
全部を同じように考えるから、手が止まります。分けてください。
すぐ答えられるもの
- パソコンの台数
- 使っている基本ソフト
- 契約しているサービス
調べれば分かるもの
- バックアップの設定
- ウイルス対策の状況
- 誰がどのアカウントを持っているか
自分では判断できないもの
- ネットワークの設定
- 外部とのつながり方
- 専門的な対策の有無
3つ目があるのは、普通のことです。 ここを無理に埋めようとしないでください。業者に聞く、あるいは詳しい人に見てもらう対象として、分けておけば十分です。
全部を一人で判断する必要はありません。
「分からない」と「やっていない」は違います
たとえば、こういう項目があったとします。
バックアップを取得していますか
「分からないから、いいえ」と答える前に、確かめてください。
クラウドのサービスを使っているなら、サービス側で自動的に保存されていることがあります。やっていないのではなく、知らないだけ、という場合が少なくありません。
逆に、「たぶんやっている」も危ないです。
- 何を
- どこに
- どのくらいの頻度で
- そこから本当に戻せるのか
最後が抜けていることが、よくあります。保存はされているが、戻したことは一度もない——これは「バックアップがある」とは言いにくい状態です。
答えるために必要なのは、結局「一覧」です
ここまで読んでお気づきかもしれませんが、この書類に答えるには、会社のIT環境が分かっていないといけません。
何台あるか。誰が使っているか。何を契約しているか。データがどこにあるか。誰が管理しているか。
作り方は、別の記事に詳しく書きました。
→ 会社にあるパソコンやソフトを、誰も把握できていないとき、まず何をすればいいか
一度作っておくと、次に別の取引先から同じことを聞かれても、調べ直さずに済みます。 この書類は、たいてい一度で終わりません。
書類を埋めることが目的ではありません
「とにかく丸を付けて出そう」となりがちです。気持ちは分かります。
ただ、この書類は自分の会社に何があるのかを知るきっかけにもなります。
分からない項目が出てきたら、一度立ち止まってください。
- 担当者が知らないだけなのか
- そもそも誰も管理していないのか
- 業者に聞けば分かることなのか
この3つのどれなのかを分けるだけでも、会社の状態がはっきりします。取引先のためではなく、自分の会社のために役立ちます。
★正式な監査とは違います
ここははっきり書いておきます。
項目によっては、専門的な判断が必要なものがあります。正式なセキュリティの監査や、法律にかかわる判断が要る場合は、その専門家に相談してください。
私が行うのは監査ではありません。**「自分の会社のIT環境がどうなっているか分からないので、まず整理したい」**という段階のお手伝いです。そこは、はっきり分けています。
ここで止めていい場合
- 3つに分けたら、「自分では判断できないもの」が無かった
- 調べれば分かる項目を、実際に調べて埋められた
- 一覧を作ったので、次に同じ書類が来ても答えられる
このどれもが済んでいるなら、そのまま提出して問題ありません。
手伝いが要る場合
- 「自分では判断できないもの」が多く残った
- 調べようにも、何を見ればいいのか分からない
- 期限が近く、調べる時間が取れない
- 前任者が辞めていて、誰も経緯を知らない
最後の場合は、先にこちらを読んでください。
→ 前任者が辞めて、会社のシステムが分からなくなったときに確認すること
一度やれば、次から楽になります
この書類が来たこと自体は、面倒です。ただ、一度きちんと整理しておくと、そのあとがずっと楽になります。
次の取引先から来ても、入れ替えを検討するときも、担当者が代わるときも、同じ一覧が使えます。
一度だけの手間だと思って、やっておく価値はあります。