セキュリティ診断後の改善管理｜KPIで修正・再診断を追う方法
セキュリティ診断の報告書を受け取ったものの、危険な問題が修正されたか分からない。
そんな状態になっていませんか？
脆弱性の件数だけを見ても、重要な問題の対応状況までは判断できません。
そんな時は、修正担当、期限、再確認の結果をひとつの流れで追えば安心です！
この記事では、診断結果を制作会社や開発会社へ渡し、未修正の問題を経営者が確認する方法をご紹介します。
セキュリティー診断さん
診断報告書を受け取ったけど、これで終わっていいの？ 問題がきちんと直ったのか、どう確かめればいいんだろう…
診断後に経営者が最初に確認すること
経営者が最初に見るのは、専門的な計算式ではありません。
危険な問題が残っていないか、誰がいつまでに直し、修正後に確認したかを押さえます。
| 確認すること | 経営者が判断する内容 |
|---|---|
| 最も危険な問題 | 顧客や売上、業務への影響 |
| 修正担当 | 制作会社、開発会社、社内担当の誰が対応するか |
| 対応期限 | 重要な問題が期限を過ぎていないか |
| 再確認 | 修正後に問題が解消したか |
| すぐ直せない問題 | 誰が理由と当面の対応を承認したか |
この項目がそろえば、経営者が技術的な修正方法を理解していなくても、対応が止まっている場所を把握できます。
セキュリティー診断さん
ただ数が減ればいいってわけじゃないんだね。 「危ない」ものから優先的に対処しないと意味ないもんなぁ。
KPIは未修正の問題を見つけるために使う
セキュリティ診断のKPIとは、問題を数えるだけでなく、修正が予定どおり進み、再確認まで終わったかを確かめる指標です。
計算方法より先に、その数字から何を判断するかを決めましょう。
| KPIで見る状態 | 分かること |
|---|---|
| 危険な問題が残っている | 優先対応が必要か |
| 期限を過ぎた問題がある | 修正依頼が止まっていないか |
| 修正に時間がかかっている | 担当や予算の追加が必要か |
| 再確認で問題が残った | 再修正が必要か |
実務担当者は必要に応じて割合や平均を集計できます。
経営者は計算式を細かく覚えるより、重要な問題が未修正のまま残っていないかを確認することが大切です。
事業への影響から優先順位を決める
修正の優先順位は、重大度の名称だけで機械的に決めるものではありません。
顧客情報が漏れる可能性、売上に関わる画面、管理機能への侵入、業務停止のおそれなど、自社への影響を診断結果と合わせて判断します。
期限は自社の事業と対応体制に合わせて責任者が決めます。
大切なのは、すべてに同じ期限を当てはめることではなく、期限を過ぎた重要な問題を放置しないことです。
診断結果を修正・再確認まで追う
診断結果は、制作会社や開発会社へ修正を依頼するための出発点です。
問題を見つけた後の役割を分け、解消の確認まで同じ管理表で追います。
- 診断結果と事業への影響から優先順位を決める
- 制作会社や開発会社へ修正を依頼する
- 担当と期限、対応状況を管理表へ記録する
- 修正した箇所を再確認する
- 残っている問題を経営者が判断する
管理表には、問題の内容、危険度、影響する画面、修正担当、期限、対応状況、再確認の結果を並べます。
経営者が技術的な修正方法を書く必要はありません。
修正を担当する会社が対応内容を回答し、経営者は期限と完了状況を確認します。
KPIの結果を投資判断へつなげる際は、セキュリティ投資の優先順位を決める方法も参考にしてください。
費用対効果を比べる場合は、既存の診断・修正費用を含めたセキュリティ投資のROI計算方法も活用できます。
セキュリティー診断さん
診断して終わりじゃなくて、修正と再診断まで同じ表で追えばいいんだね！
すぐ修正できない問題も判断を残す
すぐ直せない問題は、未対応のまま置かず、会社として扱いを決めます。
このように、対策後も残る問題を残留リスクと呼びます。
管理表には、事業への影響、すぐ修正できない理由、当面の対策、承認した責任者、次に見直す時期を残してください。
「対応中」と書くだけでは、いつまでも判断が先送りになるおそれがあります。
経営者が理由と当面の対応を承認しておけば、放置と意図的な判断を区別できます。
経営判断に必要な情報をひと目でまとめる
経営報告では、脆弱性の専門名称を詳しく並べる必要はありません。
会社への影響、対応が終わっているか、経営判断が必要かを短くまとめます。
- 最優先で対応する問題
- 修正済み、対応中、未対応の状況
- 期限を過ぎている重要な問題
- 追加の予算や担当者が必要な問題
- 経営者に承認してほしい事項
たとえば専門的な脆弱性名だけでは、対応の必要性が伝わりにくいことがあります。
「顧客情報を扱う画面で悪用される可能性があるため、開発会社へ修正を依頼している」と示せば、事業への影響と進捗を同時に判断できます。
予算や投資判断を整理する際は、セキュリティROIを測定して経営層へ報告する方法も参考にしてください。
診断結果を改善管理の出発点にする
未修正の問題を残さないために、まず現在の弱点を分かりやすい診断結果として把握しましょう。
『セキュリティー診断さん』の報告書では、発見された弱点と重大度を確認できます。
その結果を制作会社や開発会社へ渡せば、修正を依頼する場所と優先順位を共有しやすくなります。
修正作業は担当会社が行い、経営者は担当、期限、再確認の結果、残った問題を追います。
難しいKPIの計算を自分で行わなくても、この流れがあれば重要な問題が未修正のまま残っていないか判断できます。
まずは診断で現在の弱点を整理し、修正担当へ渡して、問題が解消するまで確認できる状態を作ってみてください。
『セキュリティー診断さん』を、修正依頼と改善管理を始めるための診断に活用できます。
セキュリティー診断さん
ヨシ！ 診断結果を修正担当に渡して、再確認まで追えるようにするよ！ (๑•̀ㅂ•́)و✧
関連記事
同じテーマを深掘りしやすい記事を優先して表示しています。
