「パソコンの保守は、いつもの会社に任せています」。そう答えられても、その会社がどこから接続し、何を操作しているかまで分かるでしょうか。顧客の受発注サイト、クラウド会計、業務アプリの自動連携も、社外のシステムとのつながりです。
SCS評価制度の★3では、自社の資産が接続している外部システムを把握する仕組みを整え、把握した情報を年1回以上点検します。取引先の会社名に加え、実際に接続しているシステムを説明できるようにすることが、今回の到達点です。
図1 自社と外部システムの接続例 線は接続の関係を表す
| 評価基準番号 | この回で行うこと |
| 2-1-1-1 | 外部システムを把握する仕組みを整え、実際の接続先を把握する |
| 2-1-1-2 | 把握した情報の内容を年1回以上点検する |
名古屋港のシステム停止から考える
2023年7月4日、名古屋港の統一ターミナルシステム「NUTS」がサイバー攻撃を受けて停止し、コンテナの搬入・搬出が約3日間止まりました。ランサムウェアによる暗号化被害が確認され、復旧後の7月6日には、準備が整ったターミナルから作業を再開しました。
図2 国土交通省の取りまとめに基づく経過の要約
国土交通省の検討委員会は、保守作業に使う外部接続部分のセキュリティ対策が見落とされていたと指摘しています。また、対策を考えるために、機器やネットワークの構成、外部との接続状況などを把握しておくことを推奨しています。
この事例から自社の仕事に引き付けて考えると、普段の業務画面に加え、保守会社や取引先との接続も確認する意味が見えてきます。つながっている相手と用途が分かれば、障害や脆弱性の情報が出たときに、どの担当者へ確認すべきかを整理しやすくなります。
感染経路は断定されていません。VPN機器の脆弱性が悪用されたと決め付けたり、接続先一覧があれば防げたとしたりすることはできません。また、船舶との荷役は手作業で継続されており、港の全作業が停止したという意味ではありません。
2-1-1-1 どの外部システムとつながっているか
対象は、自社以外の組織が管理・提供し、自社の資産が接続しているシステムです。公式基準は、顧客、子会社、関係会社、クラウドサービス提供者を含む取引先を挙げています。仕入先や保守会社だけでなく、仕事で利用する外部サービスまで確認します。
| 相手の例 | 確認するシステムの例 |
| 顧客 | 受注や納品予定を入力する顧客のWebシステム |
| 子会社や関係会社 | 共同利用する業務システムやファイル共有環境 |
| クラウドサービス提供者 | メール、会計、顧客管理、ファイル保管などのサービス |
| 保守会社 | 遠隔保守で接続する外部の端末や保守環境 |
上の表は架空の利用例です。「いつも頼んでいる会社だから社内と同じ」と考えると、外部との接続として確認する機会を逃しやすくなります。相手との関係が長くても、どのシステムへ、何の目的で接続しているかを確かめましょう。
会社名にシステム名と用途を結び付ける
例えば、取引先一覧に「A社」とだけ書かれていても、A社の受発注システムを利用しているのか、保守用の接続があるのかは分かりません。「A社の受発注ポータルを営業部が使い、注文内容を登録する」と書けば、確認すべき対象と社内の担当が明確になります。
接続方法も整理すると、確認先を探しやすくなります。Webブラウザでの利用、会社間のネットワーク接続、遠隔保守、APIによる自動連携など、自社の使い方に沿って記録します。接続方法は、この記事で勧める実務上の記録項目です。
台帳のひな形を用意したら 実態を入れる
公式ガイドの適合基準は、把握する仕組みを整えることに加え、その仕組みによって実際にシステム情報を把握していることも確認します。空欄の台帳を作った段階では、どこへ接続しているかは説明できません。
既存のIT資産管理台帳や管理ツールに情報を追加する方法もあります。新しい専用システムを買うこと自体が、この基準の条件ではありません。実際の接続先を漏れなく把握できる方法を、自社の規模に合わせて選びます。
クラウドの連携先もたどって確認する
APIとは、ソフトウェア同士が決められた方法で情報や処理をやり取りするための窓口です。人が画面で操作するサービスの先で、別のサービスへ情報が送られている場合があります。公式解説書は、このようなAPI等で接続する外部情報サービスも対象に含めています。
図3 クラウド間の自動連携をたどる架空例 矢印は利用や情報の流れ
図3の会社では、顧客管理クラウドAの名称だけを台帳に書くと、自動連携サービスBや会計クラウドCを見落とします。各サービスの設定画面や、連携を設定した担当者への確認から、実際の接続先をたどります。
生成AIで議事録を作り、別のクラウドへ自動保存する使い方も、同じ観点で確認できます。特定製品の機能を前提とせず、自社で有効にしている連携と、その接続先を調べます。
認証情報は管理状況を記録する
公式解説書は、API連携の接続先、利用目的、認証方式、APIキー等の認証情報の管理状況を把握することが望ましいとしています。APIキーは、連携するプログラムを識別・認証するために使う情報です。
実務では、管理担当や保管場所、利用終了時の無効化手順などを記録します。広く共有する台帳にAPIキーやパスワードの値そのものを貼り付ける必要はありません。秘密の値を保管する場所と、管理状況を説明する台帳は分けて扱います。
少人数の会社で接続先を洗い出す
まず、営業、経理、総務など、実際にシステムを使う人へ確認します。「どの会社と取引していますか」だけでなく、「仕事でどの画面にログインしますか」「自動でデータを送る設定はありますか」と聞くと、利用実態を集めやすくなります。
図4 接続先を洗い出して実態と照合する進め方の例
利用者の申告と資料を組み合わせる
請求書や契約書は、有料サービスを見つける手掛かりになります。そこへ、管理画面のアプリ連携一覧、保守契約の作業内容、ネットワーク設定などを組み合わせます。無料サービスや、部門が独自に始めたサービスは、支払先一覧だけでは見つからない場合があります。
会社の承認を得ずに導入・利用されたITは「シャドーIT」と呼ばれます。公式解説書も、その把握を重視しています。通信記録や可視化のためのツールを使う方法もありますが、特定製品の導入が必須という意味ではありません。
外注先へ確認するときの聞き方
「当社の保守で使う接続元・接続先のシステムと、接続方法を教えてください。平常時に接続するもの、障害時だけ使うもの、管理担当と連絡先も確認したいです」と依頼すると、確認したい範囲が伝わります。これは問い合わせの文例です。
調査中の項目は、確認先と期限を残して追いかけます。「不明」と書いて終えるのではなく、担当者の回答や設定資料で、把握できたことを確かめていきます。
接続先一覧の記入例
公式解説書は、利用者・用途、システム名・ベンダー名、API等の接続有無、契約、利用期間、事故時の連絡先などを含む一覧を例示しています。以下は、これらを参考にした架空の1件分の記録です。
| 管理項目 | 架空の記入例 |
| 管理番号 | EXT-001 |
| 外部システムと提供者 | 顧客管理クラウドA／A社が提供 |
| 利用者と用途 | 営業部の担当者／商談と受注内容の管理 |
| 自社側と接続方法 | 営業部の業務PC／Webブラウザで利用 |
| 外部との追加連携 | 自動連携サービスBへAPI連携あり。BはEXT-002で管理 |
| 契約と利用期間 | A社利用契約／開始日［年月日］／終了予定［未定］ |
| 社内の管理担当 | 営業部のサービス管理者［氏名・連絡先］ |
| 事故時の連絡先 | A社の契約者向け緊急窓口［確認済みの連絡方法］ |
| 認証情報の管理 | API認証情報は指定の保管先で管理。担当は［氏名］ |
| 確認の根拠と日付 | 管理画面の連携設定と利用者への確認／［年月日］ |
この表の項目や管理番号は、公式の指定様式ではありません。既存の台帳で同じ内容を管理している場合は、その情報へたどれるようにすれば、重複して転記する作業を減らせます。
連携サービスも一件ずつ分かるようにする
EXT-002には自動連携サービスBの提供者、用途、利用者・管理担当、AやCとの接続関係などを記録します。会計クラウドCも、既存の台帳で確認できるようにします。どこか一つの名称だけで、つながるサービス全体を把握した扱いにしないことがポイントです。
台帳を更新する役割も決める
例えば、利用部門が新規導入・変更・終了を担当者へ知らせ、担当者が台帳を更新する運用にします。こうした随時更新は、情報を実態に近付けるための工夫です。把握した情報の内容を年1回以上点検し、その実施を記録で確認できるようにします。
接続先の住所や構成、連絡先をまとめた台帳は、必要な担当者が利用できる範囲で管理します。公開用の取引先紹介ページへ、そのまま載せる資料ではありません。
2-1-1-2 年1回以上 情報の内容を点検する
二つ目の基準は、把握した情報を年1回以上点検することです。自己評価では、点検した記録を確認します。公式用語の「点検する」は、更新漏れ等を確かめ、必要に応じて情報を更新することを指します。
図5 年1回以上の点検と記録 具体的な記録欄は実務例
確認日を新しくするだけでは、内容の点検になりません。使い終えたサービスが残っていないか、新しい連携が増えていないか、担当者や緊急窓口が変わっていないかを、実際の利用や設定と照合します。
| 点検記録の項目例 | 架空の記入例 |
| 点検日と担当 | ［年月日］／確認者［氏名］ |
| 対象と方法 | 接続先一覧の全登録を、利用部門への確認と設定資料で照合 |
| 結果と修正 | EXT-001の管理担当を変更。EXT-003の利用終了を反映 |
| 未解決事項 | 保守用接続の確認が未了。［確認先・期限・担当］で追跡 |
| 完了確認 | 回答を受領した日と確認結果を追記し、台帳へ反映 |
上の欄は実務上の記録例です。未確認事項が残る段階では、全面的に確認済みと記録しません。変更がなかった場合も、何をどの資料や方法で照合し、変更不要と判断したかを残すと、点検したことを説明しやすくなります。
例えば、毎年10月を点検月にして予定を管理します。新規導入時などにその都度更新する運用と組み合わせても、年1回以上、内容を点検するという基準は維持します。
対象外の条件と自己評価の確認
社内サーバがなくても接続先はある
両基準の対象外条件は、対象となる外部システムが「存在し得ない場合」です。社内にサーバがない、専用線を使っていない、システムを外注している、という理由だけでは、この条件に当たりません。業務でクラウドを利用していれば、接続する外部サービスを確認します。
適用範囲に含める業務で使う端末が私物であっても、外部システムの洗い出しが不要になるわけではありません。BYODや在宅勤務を含む適用範囲の考え方は、第2回も参照してください。ここでは、その範囲で実際に利用する外部システムを整理します。
自己評価で確認する資料
| 評価基準番号 | 公式ガイドが示す確認の観点 |
| 2-1-1-1 | IT資産管理台帳や管理ツール等で、把握する仕組みと、実際に接続先を把握していることを確認する |
| 2-1-1-2 | 把握した情報を点検した記録から、年1回以上の実施を確認する |
接続先一覧を整えると、対策を確認する相手やシステムを探しやすくなります。その後に必要なアクセス制御、更新、監視、復旧準備などは、連載の関連項目で順に扱います。
本日の五つの確認
□ 顧客、関係会社、クラウド、保守会社との接続を確認した。
□ 利用する外部システムを把握する仕組みがあり、実態を記録した。
□ APIによる連携や、部門独自の利用も確認した。
□ 年1回以上、把握した情報の内容を点検している。
□ 点検の記録と、未確認事項への対応状況を確認できる。
この確認には実務上の工夫も含みます。今日は、普段使う外部サービスを一つ選び、利用者・用途・連携先を実際の設定と照合してみてください。最終的な自己評価は、公式の適合基準と自己評価方法に沿って行います。
次回は 取引先へ渡す機密情報の取り決め
11月7日は、2-1-2「機密情報の取扱い」です。取引先と機密情報を共有する前に、何を決めておくかを解説します。
連載の関連項目
適用範囲は11月2日の第2回、機器やソフトウェアの把握は11月9日の3-1-1、ネットワークの把握は11月10日の3-1-2、外部情報サービスの管理は11月11日の3-1-3で扱います。今回は、外部のどのシステムとつながっているかと、その情報の点検に焦点を当てました。
自社の接続先を整理したい方へ
ライトハウスコンサルタントでは、★3を見据えた現状確認や、規程・台帳・記録の準備を支援しています。既存の契約資料や利用状況を確認し、クラウドや保守用の接続を含めて、自社で管理しやすい形に整理します。
