セキュリティ製品を減らすと「機能が減る」と言われたときの考え方｜集約の是非は機能比較では決まらない

企業のIT環境を見直すと、セキュリティ製品が5つも6つも入っていることは珍しくありません。アンチウイルス、EDR、Webフィルタリング、端末管理、メールセキュリティ、SSO。それぞれ別の会社から別の時期に導入され、管理画面も契約も問い合わせ窓口もばらばらです。

これをMicrosoft 365やGoogle Workspaceのような基盤に集約しようとすると、現行のベンダーからほぼ必ず同じ反応が返ってきます。

「今の製品にはこの機能がありますが、移行先には同等のものがありません。事前にご確認をお勧めします。」

この指摘は、製品単位で見れば正確です。しかし、そのまま受け取ると判断を誤ります。本記事では、なぜ機能比較が判断を狂わせるのか、代わりに何を並べて比較すべきか、そしてベンダーの指摘をどう読めばよいかを整理します。

「機能比較」が判断を狂わせる理由

セキュリティ製品の比較表は、失われる機能を目立たせる構造になっています。既存製品の機能を縦に並べ、移行先に○か×を付ければ、必ずいくつかの×が残ります。そして、その×が判断の中心になってしまいます。

しかし比較表には、×の付いた機能が、その会社のリスクにどれだけ寄与しているかは書かれていません。さらに、その機能を導入後に実際に使ったかどうかも書かれていません。比較表は「製品が持つ機能」を並べるものであり、「会社が受けている保護」を並べるものではないからです。

典型的な例を2つ挙げます。

例1：EDRの24時間有人監視

「今のEDRは24時間365日の有人監視付きです。移行したら誰が見るのですか」という指摘です。

深夜にアラートが上がったとき、端末を監視しているサービスにできることは「端末を隔離する」ことです。これは多くのEDR製品が自動で行います。一方、インシデントを収束させるために必要な作業は端末の外にあります。

アカウントの無効化も、悪性メールの削除も、パスワードのリセットも、クラウド基盤の管理権限がなければ実施できません。端末だけを監視するサービスは、この部分をもともと担っていません。「24時間見ている」という言葉から想像される安心と、実際に夜間に実施される対処の範囲には、大きな開きがあります。

さらに、情報を扱う会社で最も警戒すべき攻撃は、フィッシングで認証情報を盗み、メールボックスに侵入し、情報を閲覧・転送するものです。この一連の流れの間、端末上では何も起きません。マルウェアは動かず、不審なプロセスも生成されません。端末EDRの監視時間をいくら延ばしても、見えない領域は見えないままです。

例2：プロキシ型のWebセキュリティ

「今のWebセキュリティは通信内容まで検査しています。移行先の標準機能では同等になりません」という指摘です。

たしかに、HTTPSの復号検査、IP・ポート単位のファイアウォール、シャドーITの可視化といった機能は、基盤標準のWeb保護には含まれないことが多いです。ここは製品単位の比較として正しいです。

しかし問うべきは、それらを実際に使っているかです。

導入したまま一度も触っていない機能なら、失われるのは「使っていない機能」です。使っていない機能を失うことは、会社の防御力を下げません。逆に、これらの確認をせずに「機能がなくなる」という言葉だけで判断すると、使っていない機能の維持費を払い続けることになります。

集約で「得られるもの」を並べる

比較表には載らない列が、もう一つあります。集約によって新たに加わる機能です。ベンダーの比較表は既存製品の機能を起点に作られるため、移行先にしかない機能は行として存在しません。

多くの企業では、右列の統制が現行構成で実現できていません。製品が分散しているせいで、メールで届いた攻撃と端末で起きた挙動を結びつける作業は人の手に頼っています。端末制限はどの製品の守備範囲でもなく、誰も設定していません。多要素認証は「一部の管理者だけ」で止まっています。

「失われる4機能」と「得られる5項目」を並べたとき、会社全体のセキュリティがどちらに傾くかは明らかです。比較すべきは製品同士ではなく、集約前と集約後の会社の状態です。

優先順位で考える

だからといって、失われる機能に価値がないわけではありません。プロキシ型の検査にも、24時間監視にも、固有の価値はあります。復号検査でしか止められない通信は存在しますし、夜間に端末を隔離してくれる人がいることは無意味ではありません。

ただし順序があります。メールとIDの対策が整っていない段階でWebの検査を精緻化しても、入口が開いたままです。多要素認証が全員に強制されていない状態で、Web通信の中身を検査する費用を払うのは、玄関の鍵を掛けずに窓の防犯フィルムを厚くするようなものです。

1. ID：全ユーザーへの多要素認証の強制、条件付きアクセスによるサインイン制御
2. メール：基盤側のメールセキュリティを有効化し、フィッシングと悪性添付の防御を一本化
3. 端末：会社が管理する端末からしか業務データにアクセスできない端末制限
4. 追加対策：Web通信の検査、有人監視、DLPなどを、費用と実際のリスクを見て個別に判断

まず基盤を固め、端末制限と多要素認証とメールセキュリティを動かす。そのうえで追加の対策を、費用と実際のリスクを見て判断する。セキュリティ投資の順序を間違えると、高度な機能に費用を払いながら、基本的な穴が開いたままになります。

ベンダーの指摘をどう読むか

現行ベンダーの指摘は、多くの場合、自社サービスの継続と追加サービスの導入を前提に書かれています。指摘の内容自体は間違っていません。しかし「何を失うか」の視点で構成されており、「何を得るか」と「何が本当に必要か」の視点は含まれていません。

指摘を受け取ったときは、次のように問い返すと、判断に必要な情報が揃います。

これらの問いに答えるには、製品の知識と自社の運用実態の両方が必要です。そして、その2つの視点を補うのは、製品を売らない立場の人間の仕事です。社内に情シスがいなければ、その役割を担う相手を外に持つ必要があります。ベンダーに「自社製品をやめるべきか」を判断させるのは、構造的に無理があります。

集約を判断する実務手順

実際に集約の是非を判断するときは、次の4ステップで進めます。ベンダーの比較表を受け取ってから動くのではなく、比較表を受け取る前に自社の側で材料を揃えておくのが理想です。

ステップ1：現行製品の棚卸し

導入しているセキュリティ製品を、製品名・契約先・年間費用・更新時期・管理者・有効化している機能の単位で一覧にします。この時点で「誰が管理しているか分からない製品」が出てくることも珍しくありません。管理者が不在の製品は、機能の有無以前に、運用されていない可能性が高いです。

ステップ2：利用実績の確認

各製品の管理画面で、ブロックログ、アラート履歴、設定変更履歴、レポートの閲覧状況を確認します。「機能が有効になっているか」ではなく「機能が働いた結果を誰かが見て、対処につなげたか」を基準にします。直近1年で一度も動いていない機能は、失われても防御力に影響しません。

ステップ3：自社のリスクとの対応付け

自社にとって現実的な脅威を3つ程度に絞り、各機能がどの脅威に効くかを対応付けます。フィッシングによる認証情報の窃取とメールボックスへの侵入、ランサムウェアによる端末の暗号化、退職者や委託先による情報の持ち出し。この3つが多くの企業に共通する主要リスクです。端末EDRの有人監視が効くのは2つ目だけで、1つ目と3つ目にはID・メール・端末制限の側が効きます。

ステップ4：移行順序と残す機能の決定

基盤の標準機能で先に固める領域と、個別に残す機能を分けます。残す機能は「現行製品でしか実現できず、かつ利用実績があり、かつ主要リスクに効く」の3条件を満たすものに限定します。契約の更新時期に合わせて段階的に切り替えれば、二重契約の期間を最小にできます。

よくある質問

現行ベンダーの「移行先に同等の機能がない」という指摘は間違っているのですか。

製品単位の機能比較としては正確であることがほとんどです。間違っているのは指摘ではなく、その指摘を判断の中心に置くことです。失われる機能が実際に使われているか、自社のリスクにどれだけ効いているか、集約で新たに得られる統制は何かを並べて判断してください。

24時間有人監視付きのEDRをやめても問題ありませんか。

監視者が実施できる対処の範囲を確認してから判断してください。端末の隔離は多くのEDR製品が自動で行います。一方、侵害されたアカウントの無効化や悪性メールの削除は端末の外にあり、クラウド基盤の管理権限がなければ実施できません。端末だけを見る監視サービスは、その部分をもともと担っていません。夜間に基盤側の対処を誰が行うかを先に決めることが、監視契約の有無より重要です。

プロキシ型Webセキュリティの機能を実際に使っているかは、どう確認すればよいですか。

3点を確認します。HTTPS復号検査で実際にブロックされた通信のログが直近1年にあるか、ファイアウォールのカスタムルールを追加・変更した履歴があるか、シャドーITのレポートを定期的に閲覧している担当者がいるかです。いずれも該当しなければ、その機能は導入後に触られていない状態で、失われるのは「使っていない機能」です。

セキュリティ製品を集約する順序はどう決めればよいですか。

ID、メール、端末制限の3つを先に固めます。全ユーザーへの多要素認証の強制、会社が認めた端末からしかアクセスできない制限、メールセキュリティの基盤側への統合が最初です。これらが動いてから、Web通信の検査や有人監視といった追加対策を、費用と実際のリスクを見て個別に判断します。入口の対策が整う前に高度な機能へ投資しても、基本的な穴は開いたままです。

製品を減らせばセキュリティのコストは下がりますか。

ライセンス費用は基盤側の上位プランに寄るため、必ずしも総額が大きく下がるとは限りません。確実に減るのは、管理画面と契約と問い合わせ窓口の数、更新時期の管理、製品間でログを突き合わせる手作業です。費用より先に、分散した構成で誰も設定していなかった統制が動き始めることを集約の主な効果として評価してください。

まとめ

• 「機能が減る」という指摘は製品単位では正確ですが、判断の軸にしてはいけません。 問うべきは会社全体のセキュリティが強くなるかどうかです。
• 端末EDRの24時間監視ができるのは端末の隔離までです。アカウントの無効化や悪性メールの削除は基盤側の権限が必要で、フィッシングからメールボックス侵入に至る攻撃は端末上に痕跡を残しません。
• プロキシ型の検査機能は、利用実績を確認してから価値を判断します。導入後に触っていない機能を失っても、防御力は下がりません。
• 比較表には「集約で得られる統制」の列がありません。端末制限、多要素認証の全員強制、横断的な相関、管理の一本化を並べて、集約前後の会社の状態で比較します。
• 順序はID・メール・端末制限が先です。追加対策は基盤を固めてから、費用と実際のリスクで個別に判断します。
• ベンダーの指摘に「何を得るか」と「何が本当に必要か」の視点を補うのは、製品を売らない第三者の役割です。

セキュリティ製品の棚卸しと集約方針の整理から、移行設計、集約後の運用代行まで、当社でも一貫して支援しています。現行ベンダーの提案を第三者の視点で評価したい場合もご相談ください。