買収した会社のセキュリティの水準を、どうそろえるか

買収した会社のセキュリティの水準は、現状を確かめる、急ぐ対策を先に打つ、ネットワークをつなぐ前に条件を確かめる、グループの最低限の基準に段階を分けて寄せる、の順に進めます。規程や仕組みをいきなり親会社と同じにするより、事故の入り口になりやすいところから手当てするほうが、限られた時間と予算で守りを固めやすくなります。

なぜ、買収した会社のセキュリティを先に確かめるのか

買収した会社のセキュリティを先に確かめるのは、その会社の弱いところが、グループ全体への入り口になりうるためです。M&Aの後は、両社のネットワークやアカウントをつなぎ、データをやり取りする場面が増えます。そのときに、買収した会社の側に古い機器や管理されていないアカウントが残っていると、そこから侵入され、親会社にまで被害が広がるおそれがあります。

経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver 3.0」は、経営者が認識する3原則の1つに、自社だけでなく、国内外の拠点、ビジネスパートナーや委託先など、サプライチェーン全体にわたる対策への目配りが必要であることを挙げています。重要10項目の指示9でも、ビジネスパートナーや委託先などを含めたサプライチェーン全体の状況の把握と対策を求め、付録の確認の項目には、グループ企業との取引や連携でのリスクへの対策の状況を把握していることが含まれています。

出典：サイバーセキュリティ経営ガイドライン Ver 3.0（経済産業省・IPA、2023年3月）

現状は、何を確かめればよいのか

現状の確認では、事故の入り口になりやすいところと、事故が起きたときの備えを中心に確かめます。M&Aの前のITデューデリジェンスで分かっていることがあれば、その結果から始め、分かっていないところを補います。調査の観点はITデューデリジェンスでは何を見るのかで説明しています。

中小企業の場合、こうした項目を誰も把握していないことも少なくありません。その場合は、IPAの「中小企業の情報セキュリティ対策ガイドライン」の付録にある自社診断のような、公的な確認の道具を使って、まず全体の様子をつかむ方法もあります。使い方は「中小企業の情報セキュリティ対策ガイドライン」の使い方で説明しています。

出典：中小企業の情報セキュリティ対策ガイドライン（IPA）

統合を待たずに急ぐ対策は何か

統合を待たずに急ぐのは、インターネットに面した機器の更新、管理者のアカウントの整理と多要素認証、バックアップの確認、事故のときの連絡の決まりの4つです。いずれも、業務のやり方を大きく変えずに進められ、事故の入り口を減らす効き目が大きいと考えられます。

• インターネットに面した機器の更新：VPN機器などの更新を当て、サポートの終わった機器は入れ替えの計画を立てます。入り口になりやすい機器の守り方は、VPN機器の脆弱性とランサムウェアで説明しています
• 管理者のアカウントの整理と多要素認証：使っていない管理者のアカウントを止め、残すアカウントには多要素認証を設定します
• バックアップの確認：大事なデータのバックアップがあり、戻せることを確かめます。バックアップがネットワークにつながったままの場合は、ランサムウェアで一緒に暗号化されないように置き方を見直します
• 事故のときの連絡の決まり：買収した会社で事故が起きたときに、誰が誰に、どの順で知らせるかを決め、両社で共有します

取引の完了の日（Day1）の前後に進めるアカウントと権限の整理はDay1に向けたITの準備で、その後のシステムの統合の進め方は買収の後のシステム統合（PMI）をどう進めるかで説明しています。

ネットワークをつなぐ前に、何を確かめるのか

両社のネットワークをつなぐのは、確かめる条件を満たしてからにします。つないだ後に問題が見つかると、影響が両社に広がるため、つなぐ前の確かめが、M&Aの後のセキュリティの大事な区切りになります。

確かめる条件の例は、次のとおりです。

1. インターネットに面した機器の更新が当たり、管理者のアカウントに多要素認証が設定されている
2. 端末に守りの仕組みが入り、ウイルスなどに感染していないことを確かめている
3. つなぐ目的と、やり取りする通信の種類が決まっている

条件を満たしていない場合は、つなぐのを待つか、つなぐ範囲を絞ります。つなぐときも、ネットワークの全体をつなぐのではなく、目的に要る通信だけを許し、記録を残します。メールやファイルの共有のように、ネットワークをつながなくてもクラウドのサービスで共有できるものは、そちらを先に使う方法もあります。

水準は、どうそろえていけばよいのか

水準をそろえるときは、グループとして最低限守る基準を決め、買収した会社がその基準に段階を分けて近づく計画を立てます。親会社の規程や仕組みをそのまま当てはめると、会社の規模や業務に合わず、運用が続かないことがあるためです。

• 最低限の基準を決める：多要素認証、更新の当て方、バックアップ、事故の連絡、委託先の管理など、グループのどの会社にも求める項目を決めます
• 差を一覧にする：買収した会社の現状と基準の差を一覧にし、直す順番を決めます
• 予算と担い手を決める：直すための予算と、社内の担当、手伝う外部の会社を決めます
• 決まった時期に確かめる：基準を満たしているかを、決まった時期に確かめ、取締役会や経営の会議に報告します

グループのITのリスクを取締役会でどう確かめるかは、取締役会・監査役が確かめたいITのリスクで説明しています。

当社のご支援

当社は、買収した会社のセキュリティの現状の確認、急ぐ対策の実装、ネットワークをつなぐ前の確かめ、グループの基準づくりと社員の教育を受け持ちます。中身はセキュリティ診断と対策のページで紹介しています。M&Aの進め方やPMIの全体の計画は、グループ会社のフロレンティナが受け持ちます（フロレンティナとの連携）。まず自社の状態を確かめたい場合は、セキュリティの自己診断（無料）もご利用いただけます。