セキュリティ入門 08｜年に一度か毎月か：セキュリティはどの頻度で点検するか

うちは去年末に業者にセキュリティ点検をしてもらったから、今年はもう見なくていいのでは——多くの経営者が胸のうちに抱く疑問です。セキュリティ点検を年に一度の社員の健康診断のように考え、やって報告書を受け取り、引き出しに入れて、これで一年は安心だと感じる。ある日サイトが急に開かなくなるか、サーバーの未払いと脆弱性の通知が届くまでは。そして半年のあいだにシステムの中身がすっかり変わっていたことに気づきます。

逆もまた良くありません。エンジニアにすべてを毎日見張らせれば、ほどなく疲れて形式だけになります。セキュリティ入門の第 8 回であり、第一部「まず今あるものを把握する」の締めくくりです。セキュリティ入門 01｜公告が出た日：自分のシステムが該当するかどう見分けるかでバージョンを確認したのに続き、本稿はセキュリティとシステムの点検に妥当な頻度を定めます。毎月見るべきこと、四半期か年に一度で足りること、そして変更が起きた瞬間にやらなければならないこと。

年に一度の点検では日常の事故を止められない理由

会社のサイトとシステムは生きています。毎日新しい取引データがデータベースに書き込まれ、毎月クラウドの請求とプラットフォームの通知が届き、毎週新しいソフトウェアのセキュリティ公告が出て、ときおり従業員が入社し退職します。年に一度しか開けて見ないなら、そのあいだのリスクはすべて運に預けていることになります。

英国サイバーセキュリティセンター（NCSC）はガイダンス『10 Steps to Cyber Security: Asset management』で指摘しています。時間が経てばシステム環境は自然に増え変わっていくため、組織は資産一覧の正確さを維持し検証し続けなければならず、システムやデータが不要になったら関連するアカウントと認証情報を直ちに停止しなければなりません。『Vulnerability management』でも同じ趣旨が強調されています。脆弱性管理はシステムの生涯を貫く継続的な過程であり、新たに現れる脅威と失敗した更新を常に把握しなければならず、一時点の点検だけに頼ることはできません。

言い換えれば、良いセキュリティの頻度とは、すべてを同じ日に詰め込むことではなく、変化の速さと事故の代償に応じて四つの異なる頻度に分けることです。

第一の頻度：週次から月次で見ること（機械が生きていること、バックアップが動いていること）

この層はシステムの呼吸と心拍です。これが止まれば、数日のうちに停止やデータ消失に見舞われることがあります。サーバー・監視・セキュリティアップデート：自分でやると何時間かかるかでは、こうした定常業務にかかる時間を並べて計算しました：

• 週に一度エラーログを見る：新しく出たエラーを拾い出し、対応が必要かを判断する。三十分もかかりませんが、小さな問題が大きな停止になる前に止められます。
• 月に一度サーバーの資源と請求の通知を見る：ディスク容量とメモリが満杯に近づいていないかを見て、同時にクラウドのプラットフォームから異常な費用や強制アップグレードの通知が来ていないかも確認します。
• 月に一度バックアップが本当に生成されているか確認する：当初スケジュールを設定したかどうかではなく、入っていって最新のバックアップファイルがサーバー以外の場所にあるか、サイズが妥当かを見ます。

第二の頻度：四半期に一度やること（セキュリティ更新と復旧の試験）

毎月では多すぎ、年に一度では遅すぎることがあります。ちょうどよいのは四半期に一度で、重大な緊急の脆弱性が出たときは別に開きます：

• 定常のセキュリティ更新：その期間に溜まった言語、フレームワーク、パッケージのセキュリティ修正を、まずテスト環境で通して既存の機能を壊さないことを確認し、それから本番に上げます。
• 実際にバックアップから戻してみる：御社の AI 製品にバックアップはありますか：データベースとファイルの最低基準に書いたとおり、復旧を試したことのないバックアップは願望でしかありません。四半期ごとに一日選び、本当にバックアップをテスト環境に戻して動かし、いざというときデータが戻ることを確認します。
• 今残っている管理画面と業者のアカウントを点検する：まだ開いている管理者アカウントを照合し、一つひとつがまだ使われているかを確認します。

第三の頻度：年に一度、あるいは変更があったら直ちにやること

月次と四半期の基礎が固まったら、残る二種類を年次か事象のきっかけで管理します：

• 年に一度の棚卸し：システム全体の構成を見渡し、保守終了（End of Life）が近い古い版はアップグレードを前もって計画し、ドメインと証明書の自動更新に使っているカードが期限切れでないかを確認し、全体のシステム健康診断や踏み込んだ検査を行います。
• 変更があればその日にやること（月末や四半期末を待てないもの）：従業員の退職や異動の当日にアカウントを止める、外注先との契約が終わった当日に権限を回収する、高リスクの公告が届いた週にバージョンを照合する。これらを年末の大掃除まで待てば、そのあいだは正面の扉が開いたままの空白期間になります。

一枚の表で見る：会社のセキュリティ点検、四つの頻度

下の表はそのまま印刷するか、システムを担当する同僚に渡して、自社の点検の頻度に抜けた枠がないかを確認できます：

固定の頻度は仕組みに任せ、記憶力に任せない

この四つの頻度を見れば、経営者がときどき思い出して訊くだけでは役に立たない理由が分かります。人は忙しければ忘れます。とくに四半期の復旧試験や週次のログ確認のように、ふだん達成感がなく、やらなくてもすぐには爆発しない仕事は忘れられます。

サーバー・監視・セキュリティアップデート：自分でやると何時間かかるかで計算したとおり、「三つの仕事は六つの定常業務に分かれる」のであり、そこには「週にエラーログを見る：新しく出たエラーを拾い、どれを処理するか判断する。約 30 分」「バックアップの確認：バックアップが動き、ファイルが実在し、サーバー以外の場所にある。約 20 分」「四半期の復旧試験：本当に一度戻して、データが帰ってくることを確認する。約 2 時間」が含まれ、合計すると毎月およそ 6 ～ 8 時間かかります。その時間を固定で割ける人が社内にいないなら、もっとも正直なやり方は、長期運用を専門に担う相手に任せることです。

恩梯科技（Nerd Technic）はカスタム開発出身のシステムソフトウェア会社で、今やっているのは AI システムの長期保守です。長期保守で見るべきは、サーバーと監視を毎日誰かが見ていること、セキュリティ更新、遠隔地バックアップ、定期的な復旧試験が固定の頻度で回ることで、あなたが自分の予定表に書いて覚えておく必要はありません。今あるシステムにどの頻度の点検がいちばん欠けているかを知りたい場合は、システム健康診断から始められます：システム健康診断を予約する