セキュリティ設定が不安で、見直す要点が分からない
パソコン、メール、クラウドサービス、ネットワークなどには、それぞれセキュリティに関する設定があります。
不安を感じていても、何を確認し、どこから見直せばよいかが分からなければ、設定変更だけが増えていき、会社全体の状態を把握しにくくなってしまいます。
現在利用している機器やサービス、管理者、設定内容を確認し、業務への影響が大きいものから順番に整えていくことが大切です。
困りごとが起きる背景
会社で利用するIT機器やサービスが増えると、確認すべき設定も自然と増えていきます。
パソコンには更新やウイルス対策の設定があり、メールやクラウドサービスにはログイン方法、共有範囲、管理者権限などの設定があります。
導入した時期や担当者が異なると、設定の考え方がそろっていないこともあるでしょう。
以前は必要だった例外設定や、一時的に変更した内容が残っていても、変更理由や現在の必要性を確認できなければ、そのまま使い続けることになってしまいます。
また、不安を感じるたびに設定を追加していくと、どの対策を何のために行ったのか分からなくなり、次回の確認や担当者への引き継ぎが難しくなります。
よくあるつまずき
セキュリティ設定の見直しでは、次のようなことが起こります。
- 会社で利用している機器やサービスの一覧がない
- どの設定を優先して確認すればよいか分からない
- 管理者になっている人やアカウントを把握できていない
- パソコンやソフトの更新状況が機器ごとに異なる
- ログイン方法やパスワードの管理方法が統一されていない
- 共有範囲やアクセス権限の必要性を確認できていない
- 一時的に許可した設定や例外が残っている
- 誰が設定を変更したのか記録されていない
- 設定を変更した後の確認方法が決まっていない
- 不安はあるものの、業務への影響が分からず変更できない
すべての設定を一度に変更する必要はありません。
現在の状態を確認したうえで、影響の大きさと見直しの必要性を分けて判断することが重要です。
整備の進め方
まず、会社で使用している機器、アカウント、サービス、ネットワークを確認します。
そのうえで、現在確認できていること、追加確認が必要なこと、変更を検討することを分けていきます。
対象となる機器やサービスを確認する
セキュリティ設定を確認する前に、会社で何を利用しているのかを整理します。
主な確認対象は次のとおりです。
- パソコンやタブレット
- サーバーやNAS
- ネットワーク機器やWi-Fi
- メール
- 業務ソフト
- クラウドサービス
- 共有フォルダーやクラウドストレージ
- Webサイトや外部サービスの管理画面
- バックアップの保存先
- 社外から利用する接続方法
利用者、設置場所、管理者、契約状況なども、確認できる範囲であわせて一覧にしておきます。
利用しているものが分からない状態では、必要な設定や確認漏れを判断することもできません。
管理者と確認する人を整理する
機器やサービスごとに、設定を確認できる人と、変更を承認する人を確認します。
管理者アカウントが誰のものか分からない場合や、以前の担当者の情報が残っている場合は、現在の管理方法を追加で確認します。
管理者権限は、一般の利用権限とは分けて整理します。
設定を変更できる人、契約を変更できる人、利用者を追加・削除できる人を確認し、必要な範囲をはっきりさせておきます。
ログインと認証の状態を確認する
アカウントへのログイン方法を確認します。
主に次の内容を整理します。
- 利用者ごとにアカウントが分かれているか
- 共有アカウントを誰が利用しているか
- 退職者や異動前のアカウントが残っていないか
- 管理者アカウントの利用者を確認できるか
- 多要素認証など、追加の確認方法が設定されているか
- パスワードや認証情報の管理方法が決まっているか
- ログインできなくなった場合の確認先が分かるか
具体的に利用できる認証方法は、サービスの契約内容や現在の設定を確認したうえで確定します。
更新と保護機能の状態を確認する
パソコン、ソフト、ネットワーク機器などの更新状況を確認します。
自動更新が設定されていても、実際に更新が完了しているとは限りません。
更新状況、再起動の必要性、業務への影響を確認し、実施する時期を決めていきます。
ウイルス対策などの保護機能についても、導入されているかだけでなく、現在きちんと動作しているか、通知を誰が確認するかを整理します。
更新や設定変更によって業務ソフトや周辺機器へ影響が出る可能性がある場合は、対象機器や現在の構成を確認してから実施します。
共有範囲と権限を確認する
会社のデータやサービスについて、誰が何を利用できるかを確認します。
閲覧、編集、削除、共有、管理など、権限の違いを分けて整理します。
必要性が確認できない権限や外部共有が見つかった場合も、すぐに削除するのではなく、利用目的、業務への影響、承認者を確認します。
権限を変更する場合は、必要な業務を継続できることもあわせて確認します。
外部との接続や公開範囲を確認する
社外から利用できるサービスや接続方法がある場合は、利用者、利用目的、対象範囲を確認します。
使われていない接続方法や、設定した理由が分からない公開範囲については、必要性を追加確認します。
具体的な接続方法や設定変更の可否は、現在の機器、契約、ネットワーク構成を確認したうえで確定します。
外部からの接続や公開設定の詳しい見直しは、個別の対象として分けて進めていきます。
例外設定を整理する
業務上の理由で、通常とは異なる設定が必要になることもあります。
例外をすべてなくすことが目的ではありません。
例外を設定する場合は、次の内容を記録しておきます。
- 対象となる機器、利用者、サービス
- 例外が必要な理由
- 許可する範囲
- 承認した人
- 設定した人
- 利用する期間
- 見直す時期
一時的な設定には確認期限を設けておき、そのまま残り続けないようにします。
優先順位を決める
見直す項目が複数ある場合は、すべてを同時に変更しようとせず、業務への影響を確認して順番を決めます。
主に次の内容を判断材料にします。
- 管理者権限や重要なデータに関係するか
- 社外から利用できる状態か
- 利用者や利用目的を確認できているか
- 退職者や利用していないアカウントが残っていないか
- 更新や保護機能が停止していないか
- 設定変更によって業務が止まる可能性があるか
- 現在の設定へ戻す方法を確認できるか
影響が大きく、現在の状態を確認できていないものから優先して確認していきます。
変更内容と結果を記録する
設定を変更するときは、変更前の状態、変更する理由、影響範囲、確認方法を記録します。
変更後は、設定画面だけでなく、必要な業務を継続できるかを確認します。
記録には、必要に応じて次の内容を残しておきます。
- 対象となる機器やサービス
- 変更前と変更後の設定
- 変更理由
- 承認者
- 作業した人
- 実施日時
- 確認した内容
- 確認結果
- 未確認事項
- 次回の見直し時期
問題が起きたときに、何を変更したのか、どの状態へ戻せばよいかを確認できる形にしておきます。
整備後に目指す状態
確認する対象と順番が整理されていれば、セキュリティへの不安だけをもとに、設定を増やし続けてしまうことを避けられます。
現在利用している機器やサービス、管理者、設定の状態が分かれば、見直しが必要な箇所を判断しやすくなります。
設定を変更する場合も、目的、影響範囲、承認、確認結果が記録されていれば、担当者が変わっても経緯を引き継げます。
大切なのは、すべての不安を設定追加で解消しようとするのではなく、現在の状態を確認したうえで、必要なものだけを順番に整えられる状態にしておくことです。
その場限りで終わらせないために
セキュリティ設定は、一度見直したら終わりというものではありません。
人の入退社、業務変更、機器の入替、新しいサービスの追加などに合わせて、確認する対象も変わっていきます。
変更があったときに一覧と記録を更新し、管理者、権限、更新状態、例外設定の必要性を見直していきます。
前回の確認で判断できなかった項目は、未確認事項として残し、確認する人と時期を決めておきます。
アーテック福岡では、個別の設定変更だけでなく、対象となる機器やサービス、確認項目、優先順位、承認、変更履歴までを会社のIT環境整備として整えていきます。
