突然届く取引先からの確認依頼
ある日、主要な取引先から「情報セキュリティに関する確認票」が届いたら、すぐに回答できるでしょうか。
「パソコンは適切に管理されていますか」
「重要なデータのバックアップを取っていますか」
「退職者が社内データを閲覧できないようにしていますか」
こうした質問を前にして、社内の状況が分からず、回答に困ることもあるのではないでしょうか。
取引先から確認されているのは、高価なセキュリティ製品を導入しているかどうかだけではありません。
取引先から預かった情報を、会社としてどこに保管し、誰が利用し、どのように守っているのかを把握できているか。
まずは、それを説明できる状態にしておくことが重要です。
図面や仕様書は「取引先からの預かりもの」
製造業では、取引先から図面、仕様書、見積情報、試作品に関する資料などを受け取ります。
これらは、自社の仕事に必要な情報であると同時に、取引先から預かっている大切な情報です。
もし外部に漏れたり、必要なときに使えなくなったりすれば、自社だけの問題では済みません。
品質、価格、納期を守ることと同じように、預かった情報を適切に管理することも、取引を続けていくために考えておきたいことです。
だからこそ、セキュリティ対策を「IT担当者だけの仕事」にせず、経営者自身が自社の管理状況を把握しておく必要があります。
取引先に説明するために整理したい6つの項目
最初から細かな管理台帳や専用システムを用意する必要はありません。
まずは表計算ソフトなどでも構いませんので、次の6項目を確認してみましょう。
1．どのようなパソコンや機器を使っているか
社内には何台のパソコンがあり、誰が使っているでしょうか。
事務所のパソコンだけでなく、製造現場で使っている端末や持ち出しているノートパソコンなども確認します。
使われていない古い機器や、利用者が分からない端末が残っていないかも見てみましょう。
まず「何を管理しているのか」が分からなければ、適切に管理することもできません。
2．重要な情報をどこに保存しているか
図面、仕様書、顧客情報、見積情報など、外部に漏れたり失われたりすると困る情報を確認します。
そして、
「社内サーバーなのか」
「パソコン本体なのか」
「クラウドサービスなのか」
など、保存場所を整理します。
すべてのファイルを細かく一覧にする必要はありません。
まずは、会社として重要な情報がどこにあるのかを把握することから始めましょう。
3．誰がその情報を見ることができるか
重要な情報を、社内の誰でも閲覧できる状態になっていないでしょうか。
図面や顧客情報などは、業務上必要な人が利用できるようにします。
また、異動や退職があったときには、不要になった利用者登録やアクセス権が残っていないか確認します。
「誰が何を見る必要があるのか」を整理することは、情報管理の基本です。
4．基本的なセキュリティ対策ができているか
パソコンやソフトウェアの更新、パスワード、ウイルス対策、不審なメールへの注意など、基本的な対策についても確認します。
重要なのは、「たぶん大丈夫」ではなく、現在どのような状態なのかを確認することです。
取引先から聞かれたときに、
「社内のパソコンは定期的に更新を確認しています」
など、自社で実際に行っていることを説明できるようにしておきます。
5．重要なデータをバックアップしているか
図面や業務データを失ったときに、仕事を続けられるでしょうか。
重要なデータについて、
「何をバックアップしているのか」
「どこに保存しているのか」
「どのくらいの頻度で保存しているのか」
を確認します。
さらに、バックアップがあるだけで安心せず、必要なときに元へ戻せるかも確認しておくことが重要です。
6．トラブルが起きたときの連絡先が決まっているか
不審なメールを開いてしまった。
パソコンに見慣れない画面が表示された。
重要なデータが使えなくなった。
そんなとき、社員は誰に連絡すればよいでしょうか。
社内の担当者だけでなく、自社で対応できない場合に相談する外部のIT事業者なども確認しておきます。
事故を完全に防ぐことだけでなく、異常に気づいたときに早く報告・対応できる状態をつくることも大切です。
「できています」と答える前に、事実を確認する
取引先から確認票が届くと、できるだけ多くの項目に「対応済み」と回答したくなるかもしれません。
しかし、大切なのは良く見せることではありません。
まず自社の実態を確認し、
できていること、できていないこと、分からないこと
を整理します。
未対応の項目があれば、
「何を改善するのか」
「誰が担当するのか」
を決めていきます。
すべてを一度に完成させることよりも、自社の状態を把握し、必要な改善を続けられる状態をつくることが重要です。
「説明できる会社」にしておく
取引先から確認されてから、社内のパソコンやデータを一から調べるのでは対応に時間がかかります。
日頃から、
何を持っているのか。
どこに保存しているのか。
誰が使っているのか。
どのように守っているのか。
問題が起きたときにどうするのか。
を整理しておけば、確認依頼にも落ち着いて対応できます。
そして、この整理は取引先への説明のためだけに行うものではありません。
社内の情報管理を見直すことで、不要な利用者登録や過剰なアクセス権、バックアップ不足など、自社自身の課題にも気づくことができます。
情報管理を「取引を続ける力」にする
小さな会社に、大企業と同じ設備や専門部署が必要なわけではありません。
まず必要なのは、自社の管理状況を経営者が把握し、必要なことを説明できる状態です。
情報セキュリティへの取り組みは、事故を防ぐためだけのものではありません。
取引先から預かった情報を大切に扱い、「この会社なら安心して仕事を任せられる」と感じてもらうための経営基盤でもあります。
まずは、社内のパソコン、重要な情報、その利用者と保存場所を確認してみてください。
自社の管理状況を「説明できる状態」にすることから、取引先との信頼を守る情報セキュリティ対策を始めてみましょう。
