これも詐欺? セキュリティ導入時に起きる悲劇をなくせ──「登録セキスペ」で地方・中小企業を救うIPA（2/2 ページ）

[星原康一，ITmedia]

国家資格「登録セキスペ」有資格者とのマッチングを推進

　IPAと経済産業省では、先に挙げた背景から、特に中小企業が登録セキスペ有資格者の支援を受けやすくなるよう仕組みを整備しようとしている。

　力を入れて取り組んでいるのが、「中小企業向けサイバーセキュリティ対策支援者リスト」だ。

IPA デジタル人材センター 人材スキルアセスメント部 登録・講習グループ 主任 榊原七美氏

　これまでもIPAは、登録セキスペ有資格者を検索できるサービスを公開していた。しかし、誰がどのような支援を得意とするかが不明瞭で、ほとんど活用されていなかった反省がある。

　これを改善するべく、「指導テーマ」「支援実績」「得意とする業界」「支援可能形態」「支援料金」「保有資格」「保有スキル」などの属性項目を作成。希望者から追加情報をもらったうえで、地方別に登録セキスペ有資格者の一覧資料を作成して公開している。

　取り組みを開始するにあたっては、全登録セキスペ有資格者に対して、中小企業支援に関するWebセミナーを開催して参加を呼び掛けた。当初900人程度の反応を見込んでいたが、蓋を開けてみれば2000人以上が手を挙げたという。

　「社会の役に立ちたい、活躍の場が欲しいという熱量が想定以上に高いことがわかった。IPAとしては、この意欲を社会に還元できる仕組みを作らなければならない。」（IPA セキュリティセンター 普及・啓発振興部 普及啓発グループ グループリーダー 小野塚直人氏）

IPA セキュリティセンター 普及・啓発振興部 普及啓発グループ グループリーダー 小野塚直人氏

セキュリティ支援は機器購入に付随する無料サービス？

　中小企業向けサイバーセキュリティ対策支援者リストが広く認知されれば、状況は改善しそうだが、実際のところはそう簡単に事が運ばないようだ。

　「実際にセキュリティ専門家への依頼を検討する段階になると、セキュリティ意識とコストの不釣り合いが大きな課題として浮かんでくる」（芳賀氏）という。

　国の実証事業などで専門家派遣を行う際、内容に応じて1時間あたり数千円〜数万円の公的な謝金規定が適用されることが多いが、高度なスキルを持つ専門家からは「安すぎる」という声が上がる。セキュリティの重要性を知る大手企業の案件では報酬が高いため、公共事業の案件でも作業時間に謝金が見合わないことが多い。

　一方で支援を受ける中小企業側に聞くと、半数は「無料」を望み、対価を払えるとしても1回あたり合計で1〜2万円程度という回答が多い。「セキュリティ対策＝投資」という意識がまだ浸透しておらず、「相談や支援は機器導入に付随するサービスで、業者がタダでやってくれるもの」という感覚が抜けないのだ。

　「そこには提供されるサービスの質が一定でないことも関係していると考えています。知識があっても、教える・相談に乗るのは得意でない方もいます。対価に見合うサービスが提供されることがわかれば、中小企業の意識も変わるかもしれません」（芳賀氏）

サービス化の「型」を無料公開 - 効果抜群5つテーマを3回訪問で完結

　このギャップを埋め、実効性の高い支援を行うために、IPAはセキュリティマネジメント指導ツールのパッケージ化を進めている。

IPA デジタル人材センター 人材スキルアセスメント部 登録・講習グループ 籔口春南氏

　「中小企業の情報セキュリティガイドライン」をベースに、「情報セキュリティ規程の整備」「情報資産の洗い出しとリスク分析」「クラウドサービスの安全利用」「セキュリティインシデント対応」「従業員向け情報セキュリティ教育」という5つのテーマを設定。全3回の訪問で、アセスメントから改善指導、実施レビューまでが完結する標準的なカリキュラムやツールを整備した。

　これにより、支援する側は一定の品質で効率的に指導ができ、受ける側も何をされるかが明確になる。「5分でできる！情報セキュリティ自社診断」をはじめ、IPAが提供してきた資産が利用されており、活用効果も折り紙付きだ。

　今後はこのモデルを医療分野にも展開し、病院向けセキュリティ支援の実証事業も計画されている。医療業界団体などとも連携し、医療現場特有の環境や文化を踏まえたセキュリティ人材の育成・活用に向けた議論も始まっているという。

2030年に向けたセキュリティ人材強化の方針

　国は2030年までに、登録セキスペ有資格者のさらなる拡大を目標に掲げている。

　登録セキスペは「名称独占資格」であり、この資格がないと仕事ができない「業務独占資格」ではない。だからこそ、資格自体のブランド価値が重要になる。昨今では、官公庁や自治体の入札要件に「登録セキスペの配置」が盛り込まれるケースが増えてきた。企業にとっても、有資格者を抱えることが対外的な「信頼の証」となり、ビジネス上のアドバンテージになりつつある。

　また、企業内人材であっても、副業や兼業、あるいはプロボノ（社会貢献活動）として社外のセキュリティ支援を行う動きも推奨され始めている。社外での実戦経験は、巡り巡って自社のセキュリティレベル向上にも還元されるからだ。

　登録セキスペ人材のさまざまな負担を減らしつつ、その実力をいかにして社会に還元していくかも議論されている。資格更新の際の受講の手間や実費負担の低減に留まらず、資格取得・維持のROIをさらに高められるよう改善していく予定だ。

　「日本全体のセキュリティレベルを高めるには、登録セキスペ有資格者のさらなる活躍が不可欠。実利の高い資格になるよう、今後全力で整備していく」（谷澤氏）