Monthly Security Advisoryとは

何であるのか

月次アドバイザリーでは、担当として指名されたセキュリティの専門家に継続的に相談できます。スコープは書面で合意し、通常は、現在の懸念事項の協議、質問への回答、最近の変更の確認、他の業務で得られた指摘事項の優先順位付け、新たな課題への助言を行う定例の月次ミーティングが含まれます。選択するサービスに応じて、貴社チームから提供されたドキュメント、ポリシー、ベンダーの質問票、技術的な証跡の簡単なレビュー、特定の判断に関する短い書面の意見、計画、調達、インシデントへの備えについての随時の助言が含まれることもあります。作業は定められた月間の時間枠に収まるよう設計され、そのサイクルの時点で貴社にとって最も重要な問いに焦点を当てます。得られるのは、継続性、実践的な判断、そして判断が確定する前に質問できる機会です。この業務は社内の責任体制を強化し、それをより自信のある、十分な情報に基づくものにする実践的な手段となります。

誰のために

Monthly Security Advisoryは、次のような企業に適しています。

• デジタル製品、サービス、インフラを運営し、セキュリティ上の責任が増しているものの、社内に専任のセキュリティ担当者を採用するだけの規模や予算がまだない企業
• 顧客、取引先、投資家、監査人からセキュリティに関する質問が定期的に寄せられ、より明確で一貫した回答方法が必要な企業
• ツール、プロセス、ベンダー選定、コンプライアンス対応について繰り返し判断を下しており、確定する前に経験に基づく意見を得たい企業
• レビュー、評価、是正作業を依頼したことがあり、指摘事項の優先順位付け、フォローアップの管理、取り組みの継続のために継続的な助言が必要な企業

明確にするのに役立つこと

月次アドバイザリーでは、次の点が明確になります。

• 現在の懸念事項のうち、本当に優先すべきものと、後回し、委任、またはより簡単な管理策で対処できるもの
• ベンダーの主張、ツールの推奨、プロセスの提案について、宣伝ではなく実務経験に基づいて、疑問を持つべきか、検証すべきか、受け入れるべきか
• 過去の業務、監査、顧客からの質問で得られた指摘事項のうち、直ちに対応すべきもの、計画的な対応が必要なもの、担当者を明確にすべきもの
• 社内体制、ポリシー文書、インシデントへの備えについて、今取り組むべきことと、事業が別の規模や段階に達するまで待つべきこと

含まれる内容

• 指名されたセキュリティの専門家との定例の月次ミーティング1回（現在の優先事項の協議、質問への回答、助言）
• 合意した月間の時間枠内での、提供されたドキュメント、ベンダーの質問票、ポリシー、技術的な証跡の簡単なレビュー
• 特定の判断、優先順位、計画上の懸念に関する短い書面の意見や推奨事項
• 過去の協議内容と事業の現在の段階に沿った一貫した助言を保つための、業務をまたいだ継続性と背景の把握
• 社内での正社員採用に伴う負担や費用なしに得られる、実践的な判断力と経験
• 懸念事項に別スコープの業務、専門家の知見、または月間の時間枠を超える時間が必要な場合の明確な連絡

含まれていないもの

• 本格的なマネージドセキュリティサービス、常時監視、インシデント対応、合意した月次スケジュール以外での随時対応
• 是正作業、設定変更、コード変更、セキュリティプロジェクトの直接の実施
• コンプライアンス認証、監査上の承認、該当するすべての要件を満たしているという約束
• 無制限の時間や際限のない対応（業務は定められた月間の時間予算の範囲内で行います）
• 合意した業務サイクルの中で協議または提供されなかったシステム、サプライヤー、ドキュメント、判断のレビュー

それを選ぶべきとき

セキュリティの判断力を定期的かつ安定して得る必要があり、まだ社内に専任のセキュリティ部門を設ける準備や余力がない場合は、Monthly Security Advisoryをお選びください。質問が継続的に寄せられ、責任範囲が広がりつつあり、単発のプロジェクトではなく継続性が必要な場合に適しています。ベースラインレビュー、アプリケーションレビュー、SDLC評価の後、指摘事項の優先順位付けと取り組みの継続のために継続的な支援を求める場合の、実践的な次の一手にもなります。中心となるニーズがペネトレーションテスト、設定プロジェクト、ポリシー文書のような特定の成果物である場合は、通常、対象を絞った業務のほうが適切です。社内にすでにセキュリティ体制があり、深い専門的知見が必要な場合は、専任の専門家による契約を組み合わせることで、アドバイザリーと並行してその密度を加えられます。アドバイザリーの価値は、予測可能な費用と予測可能なスケジュールで、一貫した釣り合いのとれた助言を提供できる点にあります。

私たちのアプローチ

まず、業務の構成、月次スケジュール、時間枠、希望する連絡方法を書面で確定します。月次ミーティングで扱う内容、ミーティングの合間に意見を求める方法、合意した時間予算に含まれるもの、別スコープの業務が必要になるものを平易な言葉で説明した概要書をお渡しします。担当者は月をまたいで継続性を保ち、助言が過去の協議内容や事業の方向性と一貫するようにします。質問により詳しい調査、専門家の知見、アドバイザリーの範囲を超える実施作業が必要な場合は、その旨を明確に説明し、それぞれのニーズに適切な範囲が当てられるよう、適切な次のステップを協議します。助言は、技術系と非技術系の意思決定者の双方に向けた背景とともに、平易な言葉で提供します。月次のリズムは、場当たり的な危機対応ではなく熟慮された計画を支えるよう設計されており、事業のニーズが変わった際には、業務を一時停止、調整、終了できます。

よくある質問

関連記事