ガイドラインに基づいて適切かつ効率的に確認できるようなサービスがないかとWebで検索して見つけたのが、Secure SketCHでした。Secure SketCHは、セキュリティ専門家の知見を踏まえて、ISO27001やCSF、CISといった複数の主要な情報セキュリティガイドラインの要求事項をほどよく質問項目にまとめており、理解しやすいです。今後も情報セキュリティ報告書等で外部に評価結果を公表していくことを考えると、やはり信頼できる評価項目を利用することが大切です。ですので、 自力で作成する場合に発生しかねない、解釈や翻訳の間違いの懸念がないことも安心材料となりました。

　Secure SketCH導入の際には、Secure SketCHを活用すれば、自力でセキュリティ対策の実施状況をガイドラインに基づいて評価するよりも、作業工数を削減できるだけでなく、現状見えていないリスクにも気付くことができるメリットを説明し、経営層の理解を得て導入に至りました。

図. Secure SketCH の対応ガイドライン(サンプル)

NRIセキュア様には質問や要望に手厚く対応いただいたおかげで、サービス内容を十分に理解しスムーズに導入することができました。また、Secure SketCHには資料の掲載も充実しているのが気に入っています。たとえば、チェック結果に対するリスク分析のすすめ方について悩んでいましたが、NRIセキュアのブログでの解説が参考になりました。

　現在当社では、Secure SketCHを利用した、定期的なセキュリティ対策チェックを業務に組み込んでいます。検出された課題は「課題表」にまとめ、リスク評価を行った上で、優先順位の高いものから順にプロジェクト化して改善に取り組んでいます。また、既に対策を実施しているものの、ガイドラインの定めるベストプラクティスと比較すると改善の余地がある項目を洗い出すことができ、より効果的な対策へシフトすることをセキュリティ部内で議論するきっかけにもなっています。

最近の取り組みとしては、評価スコアをレポートにまとめ、セキュリティ部が所属する開発のミーティングや経営層も参加する情報セキュリティ委員会で報告を始めました。

図. Secure SketCH のレポート出力機能(サンプル)

　一番怖いのは、リスクを把握できずに放置していることです。Secure SketCHを導入することで、ガイドラインの定めるベストプラクティスに基づきリスクへの対策状況を把握し、優先順位をつけて対応できるようになったことが大きな成果だと考えています。

　情報セキュリティを取り巻く環境は目まぐるしく変化しています。セキュリティ部としても変化に対応しつつ、お客さまへ安心安全にサービスを提供する支えとなるように、今後もセキュリティ対策を強化して参ります。

その一環として、当社のセキュリティ対策の座標や進むべき方向を認識し、社内やステークホルダーにも共有させていただくツールとして、Secure SketCHを活用していきたいと考えております。