中小企業によくある課題
セキュリティソフトには法人向け製品と個人向け製品、更に無料や有料の製品がありますが、中には無料や個人向け製品のものであっても、法人向け製品のものと検出率に差がないケースがあったりもします。
できる限り低コストに抑えたいと考えるのは企業として当然の姿勢ですが、検知率に差がないのであれば企業として使うセキュリティ製品自体も個人向けや無料の製品で問題はないといえるのでしょうか？
企業の担保すべきセキュリティ対策として、個人向けや無料の製品のセキュリティソフトだけで対応できるのかどうか、有料の高機能な法人向け製品のセキュリティソフトとの違いなどについてお伝えします。
最初に結論を書くと、個人向けや無料のセキュリティ製品単体でセキュリティ対策を完結させようと考えるのは、非常に危険です。
サポートや機能に制限がある、法人向け製品と個人向けや無料の製品でパターン定義ファイルの更新速度が異なっているなどの違いがある他、そもそも個人向けや無料の製品の法人利用については利用規約としてNGとなっているケースもあります。
もし個人向けや無料のセキュリティ製品を利用する場合は、こうした制限や違いをきちんと理解したうえで、足りないセキュリティ対策を他のソリューション等でしっかりとカバーできるようにしましょう。
一概に法人向けセキュリティ製品と個人向けや無料のセキュリティ製品の違いといっても、製品によって個々に異なる部分があるのですべてのケースに当てはまるわけではありませんが、機能面では主に以下のような違いがあります。
セキュリティソフトであっても、その中には複数の機能が含まれています。
ウイルスの検出・駆除は現在個人向けや無料のセキュリティ製品にも基本機能として付いていますが、ファイアウォール機能や詐欺サイトの回避、迷惑メール対策などいくつかの機能については法人向けセキュリティ製品にしかついていないなどのケースが見受けられます。
法人の場合は、「情シス担当者」がライセンス管理を行っているケースが多いと思われます。
こうしたケースを想定し、法人向けセキュリティ製品では「一括管理機能」が提供されているなど、管理工数を大きく削減することができます。
一方の個人向けや無料のセキュリティ製品には当然こうした機能が実装されていることはなく、全ライセンスを個別に管理する必要があります。
個人向けや無料のセキュリティ製品は、提供を続けるため、広告を表示し収益とするケースがあります。
バナーやメルマガでのテキスト広告などが送られてくるケースが多いようです。
情シス担当者として一番のネックはここかもしれません。
個人向けや無料のセキュリティ製品であるがゆえに、企業が期待するサポートの対応はできないと考えたほうが良さそうです。
トラブル発生時は自己解決か、もしくはメールなどでのやり取りを行う必要があり、それなりに時間がかかってしまいます。
個人向けセキュリティ製品のベンダーであっても営利企業のため、どこかで利益を生まなければ存続することができません。
当然、無料とは言いながらも利益を獲得できる仕組みを持っています。
具体的には次のようなビジネスモデルが存在しているようです。
いわゆる有料版への入り口です。
無料のソフトウェアは、あくまでも“まずは”使ってみてもらうための入り口として機能し、そこから先は高機能な有料版を訴求することで、利益を図る仕組みです。
多くのセキュリティベンダーはこの形態を取っているように見受けられます。
無料である代わりに広告を表示し、外部企業からお金を貰うモデルです。
GoogleやFacebookなどもこのモデルであり、現代としては一般的な収益モデルともいえます。
こちらは現在ほぼ行われていないと思しきケースですが、セキュリティソフトユーザーの行動データを収集し、匿名化した大規模データとして外部の企業に販売するというモデルです。
ITP2.0などに伴いブラウザによる行動履歴がなかなか追えなくなってくる中、セキュリティソフトは原則OSの起動直後に動きだし、インターネットブラウザにとどまらずOS上の動きをほとんどすべて取得することができます。
こうした行動データは、マーケティングを行いたい企業にとって有用な情報といえます。
Windowsには「Microsoft Defender」と呼ばれるセキュリティソフトがバンドルされています。
このセキュリティソフトはMicrosoftが開発及び提供しているセキュリティソフトになります。
セキュリティソフトをインストールせずPCを利用しているユーザーが多いことを知り、プリインストール版として提供することを決めたそうです。
かつて競合のMacが「セキュリティソフト不要」を謳っていたこともあり、スイッチを防ぐ意味でもあったと推測されます。
いくつか収益モデルをご紹介しましたが、この中で特に問題になりがちなのが利用情報の販売です。
数年前にAvast!やAVGなどが収集したデータを第三者に販売していた事実があります。
※現在は、セキュリティ製品に利用する目的以外で拡張機能で収集したユーザーデータを利用する慣行は、完全に中止したと声明を出しています。
PCの利用実態をほぼすべて取得できる関係から、そのデータには様々な機密情報が含まれます。
ケースによっては個人情報の流出などにもつながりかねず、非常に問題となりました。
このように収益モデルにも納得できるものから、なかなか納得しにくいものまでさまざまな形態があります。
しっかりと自社（自身）での利用時に問題ないか把握したうえでの選択を行うようにしましょう。
※個人向けや無料のセキュリティ製品の法人利用については、利用規約としてNGとなっている製品もあります。
では、こうした個人向けや無料のセキュリティ製品を利用しても問題ないケースはどのようなケースでしょうか？
大まかには以下のようなケースとなります。
事業活動を営む上で、実際はあまりないケースかと思われますが、端末はあくまでも何かの参照・閲覧用であり、ほぼ見られても問題ないような端末であるケースです。
前述のような機能やサポートの制限、収益モデルなどをきちんと把握したうえで、自社には問題ないと合意をとったうえで利用するケースです。
情シス担当者と経営者の間で必要な機能・コスト・リスク等の判断が合致した場合が当てはまります。
個人向けや無料のセキュリティ製品の限界は把握したうえで、そこに重ねるように他のソフトウェアやサービスを利用して補完・強化などを行っているケースです。両サービスの特徴を把握して抜け漏れが発生しないかなどを正しく評価する力が必要です。
上記はいずれも情シス担当者が積極的に選定に関わり、社内のポリシーと照らし合わせてきちんと判断したうえで採用したケースとなります。
コストは抑えられるものの、最後のケースを除きトラブル発生の確率はどうしても上がるといえるでしょう。
発生する対応工数と人件費などのバランスを見て、どのような形で実現するのが良いかを考えましょう。
※個人向けや無料のセキュリティ製品の法人利用については、利用規約としてNGになっている製品もあります。
個人向けや無料のセキュリティ製品を利用したうえで、セキュリティレベルを高めるにはいくつかの選択肢があります。
無料セキュリティ製品は無料ではなくなってしまいますが、セキュリティソフト自体のランクをアップさせ、セキュリティレベルを高められます。個人向け製品については、法人向けセキュリティ製品にお得な価格で切り替えられるという制度もあるようです。
いづれにせよ、サポートや多くの機能を利用することができるようになる、ある意味順当な対応ともいえます。
マルウェア感染などは「怪しいメールの添付ファイルは開かない」「不審なメールにあるURLはクリックしない」など個々人の意識によってある程度防ぐことが可能です。こうした情報リテラシー教育を実施することによって、そもそも危険なケースを減らすことでセキュリティレベルを高めることができます。
端末内の挙動を監視するのではなく、その手前で怪しい通信を監視することによって攻撃を防ぎます。もし同時にマルウェア感染などが発生した場合でも不審な通信を遮断することでセキュリティを担保することができます。
個人向けや無料セキュリティ製品には安価という大きなメリットと同時にデメリットも存在します。
情シス担当者としてはデメリットを理解しつつ社内全体のセキュリティレベルを俯瞰して補完するためのソリューションを適切に選ぶことが非常に重要です。
選定の際は経営者ともよく相談のうえ、リスクに対しての対応策、そしてインシデント発生リスクについての許容範囲についてしっかりと合意のうえで取り組むようにしましょう。
また、その際は管理が煩雑にならないように運用コストが抑えられるサービスを選定するとセキュリティレベルを継続的に改善できる体制を構築しやすいかと思います。
企業体力が少ないうちは、抑えられるコストは抑える必要があります。
こうした環境下においてリスクを低減するためには、セキュリティソフト単体での防御に加えコストを抑えたソリューションを併用した多層防御が効果的です。
ＳＯＭＰＯリスクマネジメントでは、多層防御に効果的なEDRサービス「SOMPO SHERIFF」を提供しております。
「SOMPO SHERIFF」は、駆除支援も可能なサイバー保険が自動付帯されてパソコン１台あたり500円/月から運用できます。
無料セキュリティソフトだけでは不安があるが情シス担当者のリソースに余裕がないという企業様はぜひ一度ご検討ください。
ＳＯＭＰＯリスクマネジメントがご提供する「SOMPO SHERIFF」は、収集したログから不審な挙動を分析しウイルス対策ソフトをすり抜けて感染したウイルスも検知します。
検知して特定されたウイルスは、自動付帯のサイバー保険で駆除支援します。
まずは、SOMPO SHERIFFを無料でお試しいただける『SOMPO SHERIFF無料体験版』からご利用ください。
SOMPO SHERIFFは独立行政法人情報処理推進機構（IPA）が中小企業向けのサイバーセキュリティサービスとして制定した「サイバーセキュリティお助け隊サービス基準」を満たすサービスとして登録され「サイバーセキュリティお助け隊サービスマーク」を付与されました。 ※詳細はこちら
コロナ禍の影響でテレワークを実施する企業が増え、東京都では3月後半時点の調査で56.4%と半数以上の企業で行われていますが、テレワークと一言で言っても内実は様々で、会社からテレワーク用の端末が支給されるケースもあれば、社員の個人PCを利用してテレワークを実施している企業もあります。
SOMPO SHERIFF無料体験版では、本サービス同様の「過剰検知確認チューニング」、「管理画面」、「週次の分析レポート」など各メニューを無料でご利用いただけます。
