悩み(6) 自前でのシステム運用の負担が大きく、セキュリティ対策に不安を感じる

f社では自社で基幹システムを構築・運用している。しかし、日頃から費用面の負担だけではなく、IT部門の要員システムの調達、運用、保守にかけられる人的資源が不足しており作業負荷が高くなっていた。

特にセキュリティ対策に関しては、サーバのマルウェア対策、OSのアップデート、セキュリティパッチの適用といった予防的な対策、またネットワークの監視、アクセスログのモニタリング等の発見的な対策など、種々の対策を講じているが、これらが少ないセキュリティ担当者に対する大きな負荷となっていた。

そこでf社は、基幹システムのサーバが保守切れを迎えるタイミングで、従来のようにサーバを自社で保有してセキュリティ対策を実施するのではなく、一部のセキュリティ対策がサービスとして提供されるクラウドサービスに移行することとした。

その際に、公知の情報(注釈1)等を参考にしながら、例えば以下のようなポイントを検討した上で、自社で行うべき管理の内容を整理し、管理の簡素化や管理工数の削減を図った。

移行時の考慮ポイントの例

• クラウドで扱う情報と業務の重要性
• 自社・事業者間でのセキュリティルール・水準の整合性（データ暗号化やパスワード強度の警告など）
• セキュリティ対策の開示状況
• 直接監査の実施可能性、もしくは、代替可能なSOC報告書(注釈2)の発行等

f社のIT部門長は、システムの専門家であるクラウドベンダが、セキュリティ対策も含めてサーバの維持を行ってくれるため負担は以前より軽減されたと感じる。

一方で、クラウド環境に移行した場合でも、全てベンダ任せにするのではなく、自社で担保しなければならない部分、例えば、ID管理やデータ暗号化やパスワード強度確認などのセキュリティ設定はしっかり対応し、委託先の選定・モニタリングも重要であると考えている。