セキュリティ対策

PCのセキュリティ設定がバラバラ

社内で使用しているパソコンごとに、セキュリティ対策ソフトの種類や更新状態、管理者権限、認証設定などが異なっていることがあります。

設定が違うこと自体が、直ちに問題になるとは限りません。

しかし、どのパソコンが、どのような保護状態になっているのかを会社で把握できていなければ、更新されていない端末や、必要性の分からない例外設定を見落としやすくなってしまいます。

会社で確認するセキュリティ項目をそろえ、標準設定、個別に必要な設定、未確認の設定を分けて管理していくことが大切です。

困りごとが起きる背景

社内のパソコンは、導入時期や購入先、利用者、担当業務によって、設定内容が異なる場合があります。

以前から使用しているパソコン、新しく購入したパソコン、業務ソフトの都合で個別に調整したパソコンが混在すると、同じ会社の端末でも保護状態に違いが生まれてしまいます。

セキュリティ対策ソフトが導入されていても、端末ごとに製品や設定が異なり、現在も正常に動作しているか確認できていないことがあります。

OSやソフトの更新についても、自動更新の設定だけが行われ、実際にどこまで適用されているか確認されていない場合があるでしょう。

また、業務上の理由で一時的に除外したフォルダーや機能、管理者権限などが、変更理由や期限を記録しないまま残ることもあります。

このような状態では、新しい設定を追加する前に、現在どのような設定になっているのかを把握しておく必要があります。

よくあるつまずき

PCのセキュリティ設定では、次のようなばらつきが起こります。

パソコンごとにセキュリティ対策ソフトの種類が異なる
保護機能が動作しているか確認されていない
OSやソフトの更新状態が端末ごとに異なる
更新後の再起動が行われず、適用が完了していない
利用者ごとにログイン方法や認証設定が異なる
管理者権限を持つ利用者を把握できていない
ファイアウォールなどの設定状態が分からない
業務上の例外設定と、理由の分からない設定が混在している
一時的に停止した保護機能が元に戻されていない
設定を変更した人や理由が記録されていない
どの端末から優先して見直すべきか判断できない
担当者が変わると、現在の設定を説明できない

すべての端末を同じソフトや同じ設定に変更すればよいというわけではありません。

現在の状態と業務上の理由を確認し、会社として把握できる状態へ整えていくことが先です。

整備の進め方

まず、会社で使用しているパソコンと利用者を確認します。

そのうえで、端末ごとのセキュリティ設定を同じ項目で確認し、標準としてそろえるもの、個別に必要なもの、追加確認が必要なものを分けていきます。

対象となるパソコンを確認する

会社で業務に使用しているパソコンを一覧にします。

主に次の内容を整理します。

端末名や管理番号
利用者
所属や担当業務
設置場所
機種
OS
導入時期
社外へ持ち出すか
管理する人

会社所有の端末だけでなく、業務に使用している持込端末がある場合は、会社としてどこまで確認するのかを決めておきます。

対象が分からない状態では、設定の確認漏れを判断することもできません。

セキュリティ対策ソフトと保護機能を確認する

端末ごとに、どのようなセキュリティ対策ソフトや保護機能が使用されているかを確認します。

導入されていることだけでなく、次の状態もあわせて確認します。

現在動作しているか
更新されているか
有効期限や契約状態を確認できるか
警告やエラーが出ていないか
誰が通知を確認するのか
一時的に停止された状態が残っていないか
ほかの保護機能と重複していないか

利用できる機能や確認方法は、端末、ソフト、契約内容を確認したうえで確定します。

製品名が違うことだけで良否を決めず、現在の保護状態と管理方法を確認していきます。

OSやソフトの更新状態を確認する

OSや業務で使用するソフトについて、更新の設定と適用状態を確認します。

主に次の内容を整理します。

自動更新が設定されているか
更新が正常に完了しているか
再起動待ちになっていないか
更新が停止または保留されていないか
更新後に業務ソフトへの影響が出ていないか
更新エラーや未完了の項目がないか
更新状況を誰が確認するのか

自動更新が設定されていても、実際の適用状況は別に確認していく必要があります。

業務ソフトや周辺機器への影響が考えられる場合は、対象端末と現在の構成を確認してから実施方法を決めます。

アカウントと認証設定を確認する

パソコンへのログイン方法と、利用者の権限を確認します。

主な確認項目は次のとおりです。

利用者ごとにアカウントが分かれているか
共有アカウントを誰が使用しているか
管理者権限を持つ人
通常業務で管理者権限が必要か
退職者や以前の利用者の情報が残っていないか
パスワードや認証情報の管理方法
画面ロックなどの設定
ログインできなくなった場合の確認先

管理者権限は、設定変更やソフトの追加など、端末全体へ影響する操作に関係します。

必要性を確認できない場合は、推測だけで権限を変更せず、利用状況と業務への影響を確認します。

通信やファイアウォールの状態を確認する

パソコンの通信に関係する保護機能について、現在の設定を確認します。

確認する内容には、次のようなものがあります。

ファイアウォールなどの保護機能が有効か
業務上必要な通信のための例外があるか
例外を設定した理由を確認できるか
利用していないソフトや機能の通信許可が残っていないか
社外で使用する端末に個別設定があるか
遠隔操作などの機能が有効になっていないか

具体的な設定内容や変更の可否は、実機と現在の利用状況を確認したうえで確定します。

業務ソフトや外部サービスの利用に必要な通信もあるため、理由を確認しないまま設定を変更することはしません。

例外設定を確認する

業務上の理由で、標準とは異なる設定が必要になることがあります。

例えば、特定のフォルダーを検査対象から除外している場合や、業務ソフトのために通信を許可している場合などです。

例外設定については、次の内容を記録しておきます。

対象となる端末
対象となるソフトや設定
例外が必要な理由
影響する業務
承認または確認した人
設定した人
設定した日時
適用する期間
次回の見直し時期

例外をすべてなくすことが目的ではありません。

必要な例外と、理由の分からない設定を区別できる状態にしておきます。

標準・個別・未確認に分ける

確認した設定を、次の三つに分けます。

標準設定

会社のパソコンで共通して確認する設定です。

新しいパソコンの準備や、既存端末の点検時に使用する基準とします。

個別設定

業務ソフト、使用場所、担当業務などの理由で、標準とは異なる設定が必要なものです。

対象、理由、影響、承認者、見直し時期を記録します。

未確認の設定

設定されている理由や影響を確認できていないものです。

すぐに削除や変更をせず、確認する人と期限を決めておきます。

この三つを分けることで、違いがあること自体ではなく、その違いを会社で説明できるかどうかを確認できるようになります。

見直す順番を決める

複数の端末に設定の違いがある場合は、すべてを同時に変更しようとはしません。

主に次の内容をもとに、確認の順番を決めます。

セキュリティ対策ソフトや保護機能が停止している
更新が長期間完了していない
管理者権限の利用者を確認できない
例外設定の理由が分からない
社外へ持ち出して使用している
顧客情報や重要な業務データを扱っている
設定変更の影響を確認できていない
管理する人が決まっていない

影響が大きく、現在の状態を把握できていない端末から優先して確認していきます。

変更前後の状態を記録する

設定を変更する場合は、変更前の状態、変更する理由、業務への影響、確認方法を記録します。

変更後は、設定画面だけでなく、必要な業務を継続できるかもあわせて確認します。

主に次の内容を残しておきます。

対象端末
変更した設定
変更前と変更後の状態
変更理由
承認または確認した人
作業した人
実施日時
変更後に確認した内容
確認結果
未確認事項
次回の見直し時期

なお、具体的な安全性やリスクの有無は、設定項目だけでは確定できない場合があります。

確認できた状態と、追加確認が必要な内容を分けて記録します。

整備後に目指す状態

PCごとのセキュリティ設定を同じ項目で確認していけば、どの端末がどのような保護状態なのか把握しやすくなります。

設定が異なる場合も、業務上必要な違いなのか、見直しが必要な違いなのかを分けて判断できます。

更新状態、保護機能、管理者権限、例外設定が記録されていれば、担当者が変わった場合でも現在の状態を引き継げます。

新しいパソコンを導入するときも、会社の確認項目をもとに設定できるため、端末ごとのばらつきを増やしにくくなります。

大切なのは、すべての端末を完全に同じ設定にすることではなく、会社が現在の保護状態と設定の違いを確認できる状態にしておくことです。

その場限りで終わらせないために

PCのセキュリティ設定は、一度確認したら終わりというものではありません。

新しい端末の追加、利用者の変更、業務ソフトの更新、機器の入替などに合わせて、設定と記録を見直していきます。

点検時には、実際の設定と端末台帳を比較し、更新が止まっている端末や、期限を過ぎた例外設定がないかを確認します。

同じ例外設定や個別対応が増えている場合は、その都度設定を変更するだけでなく、会社の標準設定そのものを見直す必要があるかを判断します。

アーテック福岡では、セキュリティ対策ソフトの導入や設定変更だけでなく、端末ごとの保護状態、更新状況、認証、管理者権限、例外設定、変更履歴までを会社のIT環境整備として整えていきます。