アウトソーシングか社内運用か：
サイバーセキュリティの選択方法

規模にかかわらず、すべての企業がサイバー脅威の対象となり得ます。実際、ITRCの「2023 Business Impact Report」によると、2023年にはSMB（中小企業）の実に73%がデータ侵害またはサイバー攻撃を経験しています。その現実は、組織のセキュリティ運用において強力な慣行を持つことの重要性を浮き彫りにしています。

セキュリティ運用とは、IT部門の中で、さまざまなサイバー脅威のモニタリング、検知、調査、対応を担当する部分です。もちろん、その目標は、クラウドからリモートデバイス、エンドポイントに至るまで、企業の環境全体をセキュリティ侵入やデータ侵害から保護することです。

組織のセキュリティ運用において人、プロセス、テクノロジーの理想的な組み合わせを実現するために、最初に下すべき決断は、それを社内で構築すべきか、それともサードパーティベンダーにアウトソーシングすべきかということです。ここでは、この重要な決断を下す際に参考となる戦略的な考慮事項をいくつか紹介します。

アウトソーシングに関する考慮事項

サイバーセキュリティをアウトソーシングすることの利点

市場調査によると、今日の組織はサイバーセキュリティサービスをアウトソーシングすることに利点を見出しています。「2022 (ISC)2 Cybersecurity Workforce Study」では、組織の48%が、利点を最大限に引き出すために優先するアプローチとしてセキュリティサービスのアウトソーシングを選択していることが示されています。また、同レポートの2024年版では、経済的圧力やAIの台頭によってサイバーセキュリティの状況が変わり、組織が引き続き外部の専門知識に目を向けていることが強調されています。そのような方向に進むことには、多くの正当な理由があります。

• コスト効率。アウトソーシングを利用すると、人材の採用やセキュリティツールの取得と管理にかかる費用を節約できるため、セキュリティ運用の財務効率が向上します。また、このアプローチでは、価格設定が予測可能であることから、年間のセキュリティ予算の計画と予測に役立ちます。

• スケーラビリティ。企業が成長し、年々ニーズが変化する中で、アウトソーシングを利用すれば、「準備が整った」ベンダーのリソースをすぐに活用して、新しい要件に合わせて拡張することが容易になります。また、このアプローチでは、セキュリティベンダーがサポート体制を整えていることを前提に、ビジネス上の変更をより迅速に行うことができます。

• 専門知識のレベル。セキュリティベンダー（特に信頼できる評判を持つベンダー）のサービスチームには、実績のある経験豊富なサイバーセキュリティ実務担当者が含まれています。これにより、組織を守るための経験とノウハウを備えたセキュリティ専門家チームを即座に得ることができます。

• クイックセットアップ。セキュリティプロバイダーと提携することで、市場への早期参入が可能になり、時間、コスト、人員配置、メンテナンスに関する導入障壁を軽減できます。つまり、契約の締結から組織のセキュリティ確保までを迅速に進めることができるはずです。

サイバーセキュリティのアウトソーシングにおける課題

アウトソーシングには多くの利点がある一方で、いくつかの課題をもたらす可能性もあります。そのため、組織のセキュリティ運用を最適に実施する方法を決定する際には、これらを認識しておくことが重要です。

• コントロールとカスタマイズの制限。セキュリティをアウトソーシングすると、ベンダーに自社の管理のハンドルを握らせることになるため、定義上はそのコントロールを譲り渡すことになります。それは一般的には良いことですが、より高いレベルのコントロールやカスタマイズを必要とする組織にとっては課題となる場合があります。

• 対応時間のばらつき。ベンダーは複数の企業をサポートしているため、問題の重大度や発生時期（長期休暇の週末など）によって対応時間が変動する場合があることに留意してください。期待どおりの対応を受けられるよう、対応時間に関するベンダーのSLAを必ず確認してください。
• 長期的なコストの増加。財務面では、アウトソーシングによって長期的にはコストが高くなる可能性があります。毎年バランスシートに注意を払い、アウトソーシングのアプローチが引き続き会社にとって最も経済的に理に適っているかを確認することをお勧めします。

社内運用に関する考慮事項

社内運用サイバーセキュリティの利点

社内のサイバーセキュリティチームを構築することは非常に有意義な取り組みになり得ます。この取り組みを進めることでいくつかの利点が得られます。

• より大きなコントロール。自社のセキュリティ運用を設計、構築、管理する場合、あらゆる側面を組織のニーズに完全に適合するように調整できます。その直接的なコントロールにより、企業のニーズの変化に合わせて調整することも容易になります。

• 事業運営に対する理解の向上。セキュリティ運用の本質は、セキュリティリスクへの露出を減らしながら、企業が安全に事業を運営できるようにすることです。セキュリティを社内で運用することで、事業の運営に必要なさまざまな機能に対する理解が深まり、セキュリティ慣行を強力なビジネスイネーブラーにすることができます。

• 対応時間の短縮。セキュリティインシデントが発生した場合、迅速な対応が最も重要です。社内のセキュリティチームを持つことの大きな利点は、マルウェアやその他の脅威に見舞われた際、インシデント対応活動を管理するために即座に総動員体制のアプローチを取れることです。
• サイバーセキュリティの人材不足への対処。ワークフォースの成長に投資し、経験豊富な同僚のサポートを受けてエントリレベルの専門家が必要なスキルを習得できるようにする組織は、社内開発およびトレーニングプログラムに焦点を当てて、よりレジリエンスの高いサイバーセキュリティワークフォースを構築することで、より良い結果を達成できる可能性があります。

社内運用サイバーセキュリティにおける課題

• コストの増加。セキュリティ機能のインソーシングのためには、24時間365日体制の運用を監督するための専門知識を持つスタッフを採用する必要があります。また、予算には最新のセキュリティテクノロジーに投資するためのコストも含める必要があります。社内でセキュリティ運用を行うことを選択する場合は、これらの総合的なコストを計画する必要があります。

• チームの構築。経験豊富なサイバーセキュリティ実務担当者の採用と維持が需要に対応できていません。世界中のサイバーセキュリティワークフォースが熟練労働者の深刻な不足に直面している状況を考えると、これは驚くことではありません。「2024 (ISC)² Cybersecurity Workforce Study」では、世界中で熟練したサイバーセキュリティ専門家が480万人も不足していると報告されています。また、組織の82%が、セキュリティ問題の予防とトラブルシューティングを行うためのサイバーセキュリティスタッフが若干または大幅に不足していると報告しており、チームに人員を配置するためのリソースを確保することは課題となる可能性があります。
• 運用の管理。社内でのセキュリティ運用の管理は、午前9時から午後5時までの仕事ではありません。攻撃は営業時間外や週末に発生することが多いため、24時間365日対応できるチームが必要になります。また、セキュリティはビジネスイネーブラーであるため、サイロ内で運用することはできません。セキュリティ慣行の範囲内で、複数の部門、ステークホルダー、従業員をサポートする内部の仕組みを理解する必要があります。

アウトソーシングと社内運用：ハイブリッドアプローチ

セキュリティ運用をアウトソーシングするかインソーシングするかを選択する際、多くの企業はそれぞれのアプローチの側面に魅力を感じます。例えば、小規模な社内チームを持つ企業は、24時間365日のモニタリングと監督をアウトソーシング先ベンダーに任せつつ、ある程度の直接的なコントロールを維持したいと考えるかもしれません。

こうした状況を受けて、セキュリティ運用のための第三のアプローチ、すなわちハイブリッドモデルが各企業に広がっています。ハイブリッドのセキュリティ運用は、社内の実務担当者とアウトソーシング先パートナーのサイバースキルを組み合わせて活用し、セキュリティ管理のエンドツーエンドのニーズに対応するものです。ハイブリッドモデル内では、さまざまなセキュリティアクティビティを社内チームとセキュリティサービスパートナーの間で分担し、単一のセキュリティ運用体制を確立します。このアプローチは、定義された主なパフォーマンス指標およびSLAに適しており、協調的で柔軟なアプローチを通じて企業に真の成功をもたらします。

どのモデルを採用すべきか

アウトソーシング、インソーシング、ハイブリッドの選択肢のうち、自社に適したアプローチはどれでしょうか。多くの戦略的なサイバーセキュリティ上の決定と同様に、正しいアプローチは、組織に最も適したバランスを見つけることです。また、今のところはあるアプローチが明らかに最適な選択肢であっても、将来的には別のモデルに切り替えることでより適合する場合もあることを覚えておいてください。幸いなことに、選択肢は豊富にあります。

これからの取り組みとして最善のものを評価する際には、貴社のニーズをサポートする信頼できるパートナーとしてクラウドストライクをご検討ください。CrowdStrike Falcon® Goを使用すれば、小規模企業のサイバーセキュリティを自社で管理しながら、ビジネスデバイス全体に手頃な価格で保護と次世代アンチウイルスを導入でき、どこでビジネスを行っていても安心感を得ることができます。また、フルマネージドソリューションをお求めの場合は、CrowdStrike Falcon® Complete Next-Gen MDRが、業界最強の侵害防御保証に裏付けられた確実な保護を行うべく、貴社を守ることに専念するセキュリティ専門家チームをご提供します。

詳細については、今すぐサイバーセキュリティの専門家にご相談ください。

専門家に相談