Vol.1 では、セキュリティ対策を考える時に多くの企業様が悩まれるポイントを取り上げ、ソリューションを検討する上で考慮したいことを整理しました。
続く Vol.2 ではネクストリードが中堅中小企業の皆様と目指したいセキュリティの形をお伝えします。

■セキュリティ製品を増やすこと自体にもリスクがある

新しいセキュリティ製品を導入すれば、新しい防御機能が追加されます。 しかし同時に、新しい管理画面、新しい管理者権限、新しいエージェント、新しい API 連携、新しいポリシー、新しいログ、新しいアラートも増えます。つまり、セキュリティ製品の追加は、セキュリティ機能を増やす一方で、運用の複雑性も増やします。

十分な人員を持つ大企業であれば、複数の Best-of-Breed 製品を組み合わせ、高度なセキュリティ アーキテクチャを運用することも可能でしょう。しかし、セキュリティ専任者を置くことが難しい中堅中小企業ではどうでしょうか。高度な製品を複数導入しても、それぞれを十分に設定・監視できないのであれば、理論上の性能を発揮できません。

重要なのは、製品単体の性能だけではありません。

• 導入できるか
• 正しく設定できるか
• 監視できるか
• 問題が起きたときに対応できるか
• 継続的に改善できるか

実際のセキュリティとしては、これらの運用まで含めて総合的に評価する必要があります。

■Microsoft 365 を使いこなす

私たちが中堅中小企業のセキュリティ基盤として Microsoft 365 をお勧めするのは、多くの企業がすでに Microsoft 365 を業務基盤として利用しており、その中で認証、端末管理、エンドポイント保護、メール保護、アクセス制御といった重要なセキュリティ機能を統合できるからです。複数の製品を組み合わせるよりも管理対象を減らし、一貫したポリシーを適用しやすくなることは、特に少人数で運用する企業にとって大きな意味があります。

Microsoft 365 E5 や Business Premium には、Entra ID、条件付きアクセス、Intune、Defender をはじめとして多くの機能があります。しかし、これらの機能を理解し、適切に構成し、変化する Microsoft サービスに追随し、アラートを確認し続けることは実は簡単ではありません。

そこで、私たちは 多くの組織で有効なセキュリティ構成を標準化し、素早く展開する という方法を取っています。 詳細なアセスメントや製品選定そのものに大きなコストをかけるよりも、多くの企業に共通して有効な対策をまず確実に実装する方が、中堅中小企業にとって実際のリスク低減効果が大きいと考えているからです。

■ネクストリードが目指しているもの

ここまで説明してきたセキュリティを実現するには、Microsoft 365 を導入して設定するだけでは不十分です。セキュリティが想定通り機能しているか、実際にどのような攻撃が発生しているか、ユーザーの業務を過度に阻害していないか、新しい機能が提供されていないかを継続的に確認し、改善していく必要があります。

一方、SOC でアラートを監視するだけでも十分ではありません。例えばアカウント侵害のアラートを検知し、調査して終わるだけでは、根本的な解決になっていない可能性があります。アラートの原因を分析し、必要であれば条件付きアクセスや認証方式、Intune、Defender などの構成を改善する必要があります。

ネクストリードでは、この考え方を中堅中小企業でも実際に実現するために、「NRAS for SMB」で以下の価値を提供しています。

• 構築ウィザードを通じて、Entra ID、Intune、Microsoft Defender などに標準セキュリティ構成を導入・展開します
• 日々発生するセキュリティ アラートを監視・調査し、判断が必要なものをお客様へお伝えします
• お客様の環境をより強くするための構成改善についてアドバイザリーを提供します

私たちは、 セキュリティ エンジニアリングとセキュリティ オペレーションを分離せず、一つの継続的な運用として提供すること を目指しており、そこに大きな価値があると信じています。

■「理想論」ではなく「現実解」を

セキュリティ専門家に相談すれば、より高度な対策をいくらでも提示できます。もっと高性能な EDR、もっと高度なネットワーク セキュリティ、より多層的な防御、詳細なリスクアセスメント。もちろん、どれも間違っていません。

しかし、私たちが問いかけたいのは、「それを中堅中小企業が本当に導入し、運用し、改善し続けられるのか」 ということです。私たちは、理想論をお伝えして終わるのではなく、組織が実際にできる方法を考え、それを実際に構築し、監視し、支援したいと考えています。

以前から私たちが掲げてきた「やらないセキュリティ」という考え方も、そのための一つの答えです。何もしないのではありません。 本当に重要なことを、ちゃんとやり続けるために、やらなくてもよいことを増やさない ということです。ネクストリードは、「仕事のシンプル化による本質的な課題解決」という考え方のもと、現実的なセキュリティのあり方を、お客様とともに作り続けていきたいと考えています。

【関連記事】
中堅中小企業に必要なのは「ちゃんと続けられるセキュリティ」Vol.1
https://nextread.co.jp/column-casestudy/security-for-smb1/

【中堅中小企業向けサービス リリース】
NRAS for SMB
https://nextread.co.jp/information/nras-for-smb/