一人情シスが死守すべき「セキュリティの絶対国防圏」：100点満点を目指さず、説明責任を果たせる境界線

セキュリティ対策には「キリ」がありません。ファイアウォール、WAF、IPS/IDS、サンドボックス、EDR、CASB、SSPM、DLP、SIEM……。展示会に行けば、無数のベンダーが「これさえ入れれば安心」と甘い言葉を囁き、専門家は「多層防御こそが基本」と説きます。

しかし、予算も人手も限られた一人情シスにとって、これら全てを導入・運用するのは不可能です。無理に手を広げれば、どのアラートも消化不良になり、結果として「穴だらけのザル」が完成します。

重要なのは、**「どこまでを守るか」ではなく「どこから先は捨てて（受容して）よいか」**という境界線を引くことです。本稿では、たった一人の管理者が現実的に運用可能で、かつ事故が起きた際に「やるべきことはやっていた」と経営陣や社会に説明できる、最低限かつ最強の防衛ライン（絶対国防圏）を定義します。

セキュリティ対策の「ピラミッド」と優先順位

セキュリティ対策には明確な「コスパの順序」があります。下層がしっかりしていなければ、上層に高価なツールを入れても砂上の楼閣です。

Identity (ID/認証)：誰が入れるか？
Device (端末)：どのデバイスなら安全か？
Network (通信)：どこからの通信か？
Data (データ)：ファイルの持ち出し制御など

一人情シスがリソースを投下すべきは、圧倒的に**「1. Identity」と「2. Device」**です。「3. Network（VPNやファイアウォール）」や「4. Data（DLP）」は、運用負荷が高すぎるため、大胆に優先度を下げます。

「絶対国防圏」の具体的な構成

以下の3点を完璧にこなしていれば、現代のセキュリティ事故の9割は防げます。逆に言えば、これができていない状態で他のツールを入れるのは無駄金です。

境界線1：MFA（多要素認証）の全適用

【目標】MFA適用率 100% 「役員は面倒がるからパスワードのみ」「共有アカウントだからMFAなし」これらは一切の例外を認めず、排除してください。

なぜ重要か：攻撃者の手口の主流は、高度なハッキングではなく「ID/パスワードの購入・流用」だからです。MFAさえあれば、パスワードが流出しても侵入されません。
運用策：Google WorkspaceやMicrosoft 365の強制設定をONにするだけです。コストはかかりません。もしMFA非対応のSaaSがあれば、それは「業務利用禁止」にするか、SSO経由でのログインを強制します。

境界線2：全PCへのMDM + 自動パッチ適用

【目標】OS/ブラウザの最新化率 95%以上 「Windows Updateをユーザー任せにしている」のは、情シスの職務放棄です。

なぜ重要か：既知の脆弱性を突く攻撃（エクスプロイト）を防ぐためです。パッチさえ当たっていれば、ウイルスの侵入経路の大部分は塞がれます。
運用策：IntuneやJamfなどのMDM（モバイルデバイス管理）を導入し、強制的に「最新OSでないと社内リソースにアクセスさせない（コンプライアンスポリシー）」設定を入れます。「アップデートしてください」とメールでお願いする業務から卒業しましょう。

境界線3：EDRの「自動ブロック」

【目標】ウイルス対策の全自動化 旧来のアンチウイルスではなく、振る舞い検知ができるEDRを入れます。ただし、前回の記事でも触れた通り、監視（SOC）はしません。

なぜ重要か：もし侵入された場合、人間が気づくよりも早く機械的に止める必要があるからです。
運用策：ポリシー設定を「Block / Kill / Quarantine（遮断・停止・隔離）」に設定します。誤検知で業務が止まるクレームよりも、ランサムウェア感染のリスクを重く見ます。「何かあったら勝手に止まるので連絡して」というスタンスを貫きます。

「やらない（捨てる）」と決める対策

ここから先は、一人情シスのキャパシティを超えます。「努力目標」または「リスク受容」として、明確に切り捨てます。

1. 内部不正対策（DLP / ログ監視）

「社員が顧客リストをUSBで持ち出すのを防ぎたい」確かに重要ですが、これをシステムで完璧に防ごうとすると（USB制御、アップロード検知、メール監査）、運用負荷が爆発します。また、性善説で働く社員のモチベーションを下げます。

境界線：USBポートはMDMで塞ぐが、クラウドストレージへのアップロードまでは監視しない。「ログは取っている（いざとなれば追跡できる）」と周知することで、抑止力効果だけを狙います。

2. きめ細やかなファイアウォール設定

「この部署からはAWSのこのポートにだけアクセス許可」といったIPアドレスベースの制御はやめます。クラウド時代、IPアドレスは動的に変わるため、管理しきれません。

境界線：ゼロトラストの発想に基づき、**「社内ネットワークは危険（カフェのWi-Fiと同じ）」**とみなします。ネットワークで守るのではなく、Identity（認証）で守ります。IP制限のメンテ時間をゼロにします。

3. メール誤送信対策（PPAPなど）

「添付ファイルを自動でZIP暗号化」や「上長承認」。これらは現場の利便性を著しく損なう上に、セキュリティ効果は限定的です。メール誤送信はヒューマンエラーであり、システムでの完全防御は不可能です。

境界線：脱PPAP（クラウドストレージのリンク共有化）を推進するのみ。誤送信事態はシステム防御のスコープ外とし、社員教育の範疇とします。

事故が起きた時の「言い訳（説明責任）」を用意する

ここまでやっても、事故は起きるかもしれません。その時、あなたが経営陣や顧客にどう説明するか。そのロジック（言い訳）こそが、あなたのキャリアを守る最後の砦です。

「やるべきことはやっていた」と言える状態

「ID管理（MFA）は完璧でした。端末（OSパッチ）も最新でした。EDRも入っていました。それでも、攻撃者がゼロデイ（未知の脆弱性）を使って、人間心理を突く高度なフィッシングで侵入してきました」

こう説明できれば、それは情シスの怠慢ではなく**「不可抗力の災害」として扱われます。逆に、「OSが3年前のままでした」「MFAが入っていませんでした」だと、それは「人災（あなたの責任）」**として断罪されます。

基本（Base）を100%徹底すること。 これが、どんな高価なセキュリティ製品よりも強力な、あなた自身を守る盾となります。

結論：恐怖に動じず、境界線を守れ

セキュリティベンダーやニュースメディアは、日々新しい脅威を宣伝し、あなたの不安を煽ります。「ランサムウェア被害の平均損害額は○億円！」「中小企業こそがターゲット！」

その情報に踊らされ、不安になってあれこれ手を出すと、全てが中途半端になります。深呼吸しましょう。

全アカウントにMFAは入っていますか？
全PCのOSは最新ですか？
EDRは入っていますか？

あなたのやるべきことは、この3つの問いに自信を持って「YES」と答えることだけです。それ以外のことは、明日考えても遅くないし、もしかしたら永遠に考えなくていいことかもしれません。

境界線を明確に引き、その内側だけを徹底的に磨き上げる。それが、一人情シスがカオスなセキュリティの海で溺れず、会社という船を守り抜くための唯一の航海術です。

AIに相談するためのプロンプト（テンプレート）

本記事で定義した「3つの絶対防衛ライン」を自社に適用し、現状のギャップを洗い出すためのプロンプトです。

あなたは中小企業のセキュリティ対策とリスク管理のコンサルタントです。
現在、私の会社（社員数[例: 100名]、一人情シス）のセキュリティ対策状況を監査し、「やるべきこと」と「捨てていいこと」を明確にしようとしています。
記事にある「絶対国防圏（MFA、パッチ、EDR）」に基づき、以下の現状に対するフィードバックと、優先的に取り組むべきアクションプランを提示してください。

# 現在の対策状況
1.  **ID管理**: [例: MS365を使っているが、MFAは一部の役員のみ未設定]
2.  **端末管理**: [例: Windows Updateは詳細設定でユーザーに任せている。MDMは未導入]
3.  **ウイルス対策**: [例: 旧来のウイルスソフトを入れているが、EDRではない]
4.  **その他**: [例: ログ管理ソフトの導入を検討中]

# 相談内容
1.  **ギャップ分析**: 「絶対国防圏」と比較して、今の致命的な欠陥はどこか。
2.  **アクションプラン**: 今すぐやるべき作業のリスト（優先度順）。特に「ログ管理」などの他の施策よりも優先すべき根拠。
3.  **経営への説明**: 「なぜ追加費用（MDMやEDR）が必要なのか」を経営陣に説明するための、恐怖を煽りすぎない論理的な説得文章。