セキュリティ対策の選択肢は増え続けています。しかし、選択肢が多いからこそ、何を基準に選び、どこから着手すべきか判断に迷う IT 担当者やセキュリティ担当者も多いのではないでしょうか。 特に予算や人員が限られる中堅中小企業では、必要な対策をすべて導入することは現実的ではありません。一方で、最新のソリューションを導入すれば安心できるとも限りません。大切なのは、自社にとって重要なリスクを見極め、実際に導入・運用し、改善を続けられる対策を選ぶことです。本コラムでは、この「実際にできるのか」という視点から、中堅中小企業がセキュリティ対策とどう向き合うべきかを考えてみます。

■ 重要なのは「実際にできるのか」という視点

セキュリティ対策について調べていると、「これも必要」「あれも必要」という情報が次々と出てきます。多要素認証、EDR、メール セキュリティ、UTM、SASE、バックアップ、SIEM、SOC、脆弱性管理、アタックサーフェス管理――。それぞれの対策には意味があり、専門のセキュリティベンダーに聞けば、それぞれが必要である理由を正しく説明してくれるでしょう。

ここで一つ聞きたいのは、セキュリティ専任者が不在もしくは少数の組織で、それらをすべて導入し、正しく設定し、日々運用し、アラートを監視し、変化する脅威に合わせて改善し続けることが、本当にできるのでしょうか。

私たちは、組織のセキュリティを考えるうえで、この 「実際にできるのか」という視点が非常に重要 だと考えています。セキュリティの目的は、考え得る対策をすべて導入することではありません。限られた予算、人員、時間の最適な配置を通じて、本当に重要なリスクを効果的に減らし、その状態を維持することです。私たちが以前から掲げてきた「やらないセキュリティ」という考え方も、まさにここから生まれています。

■ 「有効な対策」と「今やるべき対策」は違う

一つの例として、Microsoft 365 のバックアップについて考えてみましょう。バックアップそのものが有効なセキュリティ対策であることに疑う余地はありません。しかし、追加のセキュリティ予算が年間 100 万円しかなく、アクセス制御も端末管理もされていない組織であればどうでしょうか。

その 100 万円をバックアップに使うのか。それとも、フィッシングに強い認証方式や条件付きアクセス、端末管理の強化に使うのか。

ここで重要なのは、「バックアップが必要か」という問いと、「今バックアップを最優先すべきか」という問いは別である ということです。ここではバックアップを例に出していますが、EDR でも、SOC でも、ネットワーク セキュリティでも同じです。

セキュリティ対策にはほとんどの場合メリットがありますが、企業の予算は有限です。「全部やった方が安全です」というのは簡単ですが、それは組織にとって意思決定になっていません。「その対策は主要な攻撃経路を実際に断てるか」「半年後、1 年後も運用できるか」「同じ予算でもっと大きいリスク低減効果を得られる選択肢はないか」という 3 つの観点で優先順位を考える必要があります。

■ リスクを一覧ではなく「攻撃の経路」で考える

前述の 3 つの観点の中で、「その対策は主要な攻撃経路を実際に断てるか」について補足します。

一般的なリスク評価では、「アカウント侵害」「情報漏えい」「BEC」「ランサムウェア」のように、発生した結果をリスクとして並べ、その重要度を評価します。一方でここで言う「攻撃の経路」は、そうした結果に至るまでの侵入と展開の流れを見ます。

例えば、フィッシングから認証情報の窃取、アカウント侵害、メールボックスへのアクセスを経て BEC につながる経路があります。 別の経路として、アカウント侵害から SharePoint や OneDrive へのアクセスに進み、情報窃取に至るケースもあります。あるいは、端末がマルウェアに感染し、そこから認証情報が盗まれ、クラウド環境への侵害につながることもあります。

この見方をすると、個々のリスクは別々に見えても、実際には共通する侵入口や弱点を起点に広がっていくことに気づきます。そして、多くの攻撃が通る共通ポイントを優先して守ることが最も効率のよい対策に繋がります。「防御側はリストで考え、攻撃側はグラフで考える」という言葉がありますが、個別の対策を点で見るのではなく、攻撃がどうつながって進むかという経路で捉える発想（攻撃側の視点）が重要です。

■ 多くの場合「認証」と「デバイス」が重要なポイント

結論から言うと、多くのインシデントでは「認証」と「デバイス」が攻撃経路上のクリティカル ノードになるため、ここを重点的に保護することをお勧めします。多くのインシデント分析レポートでは、攻撃者は資格情報や正規アカウントを使用して初期侵入し、侵害したデバイスを足場として横展開・永続化・防御回避を行うケースが繰り返し報告されています。

正しいユーザーであることを確認するだけでは十分ではありません。

• そのユーザーがどのデバイスを使っているのか
• そのデバイスは会社の管理下にあるのか
• 最新のセキュリティ更新が適用されているのか
• マルウェア感染などのリスクが検知されていないか

こうした情報を組み合わせて、一連の防御機能として実装できると良いです。 Microsoft 365 では、Entra ID、条件付きアクセス、Intune、Microsoft Defender などを組み合わせることで、 ユーザー × 認証 × デバイス × リスク を一体として扱うことができます。 「認証を強化する」「EDR を導入する」と個別に考えるのではなく、それらを連携させることで、攻撃を防ぎ、検知し、さらに被害拡大を防ぐシンプルな仕組みを作ることができます。

：

Vol.2 に続きます。

【関連記事】
ネクストリードが考える理想のセキュリティ
https://nextread.co.jp/column-casestudy/security03/

【中堅中小企業向けサービス リリース】
NRAS for SMB
https://nextread.co.jp/information/nras-for-smb/