【中小企業向け】セキュリティ監査の重要性と簡単な実施方法

取引先から「安全対策はきちんとできていますか」と確認されたとき、口頭で「問題ありません」と答えるだけでは、十分な説明にならないことがあります。

とはいえ、セキュリティに詳しくなければ、「何を用意しておけばいいのか」と戸惑ってしまう方も少なくないですよね。

何を確認し、見つかった問題にどう対応したのかを、記録をもとに説明できるようにしておくことが大切です。

この記事では、セキュリティ監査に備えて経営者が押さえておきたいことや、確認しておきたい資料、Web診断の活用方法をご紹介します。

セキュリティー診断さん

え、うちみたいな小さな会社も狙われるの？ 正直、関係ない話だと思ってたけど…。

セキュリティ監査では「説明できること」が大切

セキュリティ監査では、社内ルールがあるか、そのルールどおりに管理できているか、見つかった不備に対応しているかなどを確認します。

その際に根拠となるのが、設定内容や台帳、作業記録、承認記録などです。

内部監査では自社で管理状況を確認し、外部監査では第三者に評価してもらいます。

どちらの場合でも、「何を確認し、何を根拠に判断したのか」を説明できるようにしておくことが大切です。

監査・Web診断・認証は何が違う？

• セキュリティ監査：社内ルールや管理状況、記録、不備への対応状況などを確認する
• Web診断：会社サイト、Webアプリ、ECサイト、外部公開APIなどに技術的な弱点がないかを確認する
• 認証：一定の基準を満たす管理体制が整っているかを第三者が評価する

Web診断の結果は、「公開しているシステムの技術面を確認した」という記録として、監査にも活用できます。

監査では、その報告書だけを見るのではなく、設定やログ、作業記録、承認記録などと合わせて確認していきます。

監査前に経営者が決めること

細かな確認作業は担当者や専門家に任せられます。

経営者がまず決めておきたいのは、「何のために監査をするのか」と「誰が何を担当するのか」です。

1. 取引先への説明、社内管理の改善、規格への対応など、監査の目的を決めり
2. 対象にする業務、情報、社内システム、公開Webシステムを決める
3. 台帳やログなどの資料を集める担当者を決める
4. 見つかった不備を直す担当者と期限を決める
5. 対応の完了や、未対応のまま残すリスクを承認する責任者を決める

外部監査を受ける場合に必要な記録や当日の役割については、外部監査の証跡整理と当日対応も参考にしてみてください。

監査ではどんな資料を確認する？

監査の対象に合わせて、次のような資料を担当者にそろえてもらいましょう。

• システムを利用しているアカウントと権限の一覧
• CMSや機器の更新、設定変更、承認の記録
• 個人情報の保管場所、閲覧できる人、保管期間、削除ルール
• 委託先との契約、役割分担、緊急時の連絡先
• セキュリティ事故が起きた際の対応記録と再発防止策
• Web診断の報告書、修正記録、再診断結果

法令や規格に沿っているかどうかも確認したい場合は、コンプライアンス監査の準備方法も確認してみてください。

こうした資料があれば、不要なアカウントが残っていないか、更新されていないシステムがないか、保管期限を過ぎた情報がないかなどを確認できます。

ただ、外部から攻撃される可能性があるWebサイトの弱点は、台帳や管理画面を見るだけでは判断できないことがあります。

そこで役立つのが、Web診断による技術的なチェックです。

Webサイトの技術面はWeb診断でチェック

Web診断では、会社ホームページや問い合わせ・応募フォーム、ECサイト、顧客向けWebシステムなど、外部に公開しているシステムの弱点を調べられます。

社内PCや社内ネットワーク、社内ルールの確認とは役割が異なり、外部から狙われる可能性があるWebサイトの技術面をチェックするものです。

こうした自社だけでは見つけにくい弱点を調べたいときに活用できるのが、Web診断サービスです。

その一つが、AIを活用してWebサイトの弱点を診断する『セキュリティー診断さん』です。

見積もりは不要で、Webサイトから申し込めるため、「専門会社とのやり取りに手間をかけたくない」という場合でも利用しやすくなっています。

診断後には、見つかった弱点や危険度、問題のある箇所、推奨される対策などを報告書で確認できます。

診断結果を「対応した証拠」として残すには

『セキュリティー診断さん』の報告書を監査資料として活用するなら、次の情報も一緒に残しておきましょう。

• 何を診断し、いつ実施したのか
• どのような弱点が見つかり、危険度はどの程度だったのか
• 誰がいつまでに対応するのか
• 制作会社へどのような修正を依頼したのか
• 修正後に再確認した結果
• 未対応の場合は、その理由や次回確認日、承認した人

自社で確認したいのは、細かな修正方法そのものよりも、重大な問題が放置されていないか、担当者と期限が決まっているか、修正後にきちんと再確認されているか、といった点です。

対応しない問題が残っている場合は、そのリスクを誰が承認したのかも確認しておきましょう。

診断報告書と設定変更、作業記録、承認記録を一緒に残しておけば、「公開システムについて何を確認し、どう対応したのか」を取引先や監査担当者にも説明しやすくなります。

セキュリティー診断さん

報告書を修正依頼と確認記録につなげれば、対応した根拠を説明できるんだね！ これなら進み具合も確認しやすそう！

まとめ：公開システムの安全対策を「説明できる形」にしよう

セキュリティ監査で大切なのは、確認作業をむやみに増やすことではありません。

「自社ではどのような安全対策をしているのか」を、きちんと根拠を示して説明できる状態にしておくことです。

社内ルールやアカウント、情報管理については、台帳や記録をもとに確認できます。

自社だけでは判断しにくい公開システムの技術面は、『セキュリティー診断さん』の活用がおすすめです。

診断結果を制作会社への修正依頼にも活用し、修正後に確認した結果まで残しておきましょう。

セキュリティー診断さん

何を確認して、どう直したかを説明できれば安心だね！ 公開システムの技術面も記録に残しておこう！