ひとり情シスのリスク｜ドメイン・証明書の期限切れ

ある朝、会社のホームページが開かなくなる。取引先から「メールを送ったんですが、戻ってきちゃって」と電話が入る。慌てて調べたら、ドメインの更新が切れていた。

社内でITが分かる人が1人しかいない会社では、こういうことが起こります。原因は、その人が休んだからでも、辞めたからでもありません。会社がお金を払っている契約が裏側でいくつも動いていて、その期限を誰も見ていなかった、というだけの話です。

ドメイン、SSL証明書、業務ソフトのライセンス、機器の保守。どれも1年か数年ごとに更新が来ます。担当者が毎日元気に出社していても、更新のお知らせメールを見落とせば同じように切れてしまいます。ひとり情シスで先に困りごとになりやすいのは、じつはこちらのほうです。

私たちデジタル屋さんは、中小企業に外から入ってデジタル化の順番を決める仕事をしています。顧問先に入るとき、最初にやるのがこの期限の一覧づくりです。何をどう集めるかを、そのまま書きます。

担当者が休む日より先に、更新日のほうが来る

ひとり情シスの話をすると、たいてい「その人が辞めたらどうするか」という方向に進みます。もちろん大事な話なのですが、実際に困るのはもう少し手前かもしれません。

担当者が3日以上まとめて休むのは、年に数回あるかどうかだと思います。一方で、契約の更新は毎月のようにどこかで来ています。回ってくる回数がまるで違うので、先に当たるのは更新のほうになります。

更新を落とすと何が起きるのかを、順番に見ていきます。

ドメイン（会社のホームページやメールアドレスに使っている、インターネット上の住所）の有効期限が切れると、サイトとメールが同時に止まります。やっかいなのはメールのほうで、外から送った相手に届かないだけなので、社内では何も起きていないように見えます。「最近あの会社から連絡が来ないな」と思われたまま、数日たってしまうことがあります。

SSL証明書（通信を暗号化するための、サイトの身分証のようなもの）が切れると、問い合わせフォームを開いた人のブラウザに「このサイトは安全ではありません」という警告が出ます。見た人はたいてい、そこで引き返します。

業務ソフトのライセンスは、切れた日から起動しなくなるものがあります。機器の保守契約にいたっては、壊れた日に初めて「切れていました」と分かります。

どれも日付で決まっているので、人の頑張りではどうにもなりません。ひとり情シスで気をつけたいのは、担当者が休むかどうかよりも、これらの期限が1人の頭の中にしか無い状態のほうだと思います。

なお、人が休んだときに会社が何日で止まるかを測りたい場合は、属人化の直し方｜全部やらず止まる順に2〜3個に数え方をまとめています。半日休むために連絡の行き先だけ決めたい場合は、仕事の属人化で休めない｜休む前に決める2つのほうです。ここから先は、日付の話に絞ります。

切れたときの見え方で、期限は3種類に分かれる

期限をひとまとめに考えると、どれから手を付けるかが決められません。切れたときにどう見えるかで分けると、3つになります。

① 切れた瞬間に、外から見えるもの

ドメイン、SSL証明書、レンタルサーバー、クラウドサービスの支払いなど。止まると、取引先やお客様のほうが先に気づきます。復旧そのものは早いことが多いのですが、「あそこ、大丈夫かな」と思われた分は残ります。

② 切れても、社内からは見えないもの

OSやソフトのサポート終了、機器の保守契約、ウイルス対策の契約など。切れても機械はふつうに動き続けるので、誰も困りません。ただ、気づかないうちに守りの部分だけが弱くなっていきます。何かあるまで分からない、というのがこの種類のこわいところです。

③ 切れずに、増えていくもの

辞めた人のアカウント、契約が終わった業者に渡したままの管理者権限、テスト用に作って消していないID。これらには期限がありません。期限が無いということは、放っておけば増える一方だということです。

先に手を打ちたいのは②と③になります。①は、切れれば誰かが教えてくれます。②と③には、教えてくれる人がいません。

期限の一覧は、担当者に聞かなくても作れる

「まず現状を可視化しましょう」とはよく言われます。ただ、その作業をやることになるのは、社内でいちばん忙しい人です。ひとり情シスの本人に一覧づくりを頼めば、その分だけ日々の問い合わせへの返事が遅れます。それで結局、後回しになってしまいます。

経営者側だけで集める方法があります。支払いから逆にたどるやり方です。

契約には、必ず支払いがあります。ドメインもクラウドも保守も、どこかから毎月または毎年お金が出ています。ということは、法人カードの明細と銀行口座の引き落としを並べれば、契約している先の名前がほぼそのまま出てきます。サーバーがどこにあるかを知らなくても大丈夫です。支払先の名前を見ていけば、どこと何を契約しているかは分かります。

見る期間は直近12か月です。年に1回の更新は、3か月分を見ても出てきません。ドメインや証明書は、まさにその年1回の側にいます。

1件につき書くのは、次の2つだけで足ります。

• 次にいくら落ちるか
• 次にいつ落ちるか

そのサービスが何をしているかは、この段階では分からなくてかまいません。むしろ「これ、何の支払いだろう」という行が残ることのほうが大事で、そこがそのまま、担当者しか知らない部分だということになります。書き終えたら、日付をカレンダーに入れてください。入れ終わった紙が、そのまま期限の台帳になります。

これで①と②はだいたい拾えます。③の辞めた人のアカウントは支払いに出てこないので、別に見る必要があります。台帳としてきちんと形を作りたくなったときは、情報資産管理台帳とは？先に埋める7列と作り方に列の決め方があります。ただ、最初の1周は上の2つで十分だと思います。

担当者に任せてよい話なのか、公的な資料で確かめる

期限とアカウントの管理を担当者に任せきりにしてよいのかどうか。ここは感覚で決めなくても、国の資料に書いてあります。

経済産業省のサイバーセキュリティ経営ガイドラインは、経営者が認識する必要のある「3原則」と、経営者が担当幹部に指示すべき「重要10項目」をまとめたものです。最新はVer3.0です。

ただし、この文書は対象を「大企業及び中小企業（小規模事業者を除く）」と自分で書いています。10人の会社がそのまま当てはめる文書ではない、ということです。

小さい会社向けは、IPA（情報処理推進機構。国の独立行政法人で、情報セキュリティの資料を出しているところ）の中小企業の情報セキュリティ対策ガイドラインのほうです。こちらは「個人事業主、小規模事業者を含む中小企業の利用を想定」と明記されていて、経営者編と実践編に分かれています。付録3の「5分でできる！情報セキュリティ自社診断」は8ページで、Excel版もあります。第4版から、以前の「情報セキュリティ5か条」にバックアップが加わって6か条になりました。

③の辞めた人のアカウントについては、IPAの組織における内部不正防止ガイドラインがあります。第5版で、雇用の流動化による退職者の増加がもたらすリスクを下げるための人的管理の対策が追記された、と説明されています。10の観点・33項目で、付録に33項目のチェックシートが付いています。

3つとも読み通す必要はありません。分かってもらえればいいのは1点だけで、期限とアカウントの管理は、担当者の裁量に置いてよい話としては書かれていない、ということです。

人を増やす前に、やっておきたいこと

増員も外注も、今日決めなくてかまいません。人を増やしても、期限が誰かの頭の中にあるままなら、覚えている頭が2つになるだけです。

1人のままでも困らない条件は、たぶん1つだけです。期限が担当者の頭の外に出ていること。それだけです。

外に頼むかどうかも、その一覧ができてから決めるほうが安く済みます。何を頼みたいかが決まっていない状態で見積もりを取ると、相手も全部入りの金額を出すしかありません。逆に「この12件の期限を見てほしい」と言えれば、範囲が決まっているぶん金額も小さくなります。

外に出したときに自社側へ何が残るかは情シスアウトソーシングで外注できる範囲と残る2つに、顧問を置く前に決めておく3つはIT顧問の選び方｜契約前に決める3つと辞め方にまとめてあります。

今月やること、来月に回してよいこと

今月やるのは、支払い明細12か月分から期限の一覧を作ることです。経営者だけで終わります。

来月に回してよいのが、辞めた人と元業者のアカウントを1回だけ確認することです。こちらは担当者の協力が要ります。増員、ツールの入れ替え、マニュアルの整備は、今年やらなくても会社は止まりません。

そのうえで、明日の朝に担当者へ聞いてみるとしたら、この3つです。

• うちのドメインは、どこの会社で、いつ更新になっていますか
• 会社名義の契約のうち、あなたの個人のメールアドレスで登録しているものはありますか
• 最後に辞めた人のアカウントは、いま消えていますか

3つとも、答えるのに調べ物がほとんど要りません。聞いても担当者の仕事は増えないはずです。

2番目については、答えが「はい」でも責める場面ではないと思っています。1人でやっていれば自分のアドレスで登録するのが自然ですし、それを会社の窓口に移す作業は、どちらかといえば経営側の仕事です。

保守契約が生きていても、脆弱性の修正がその範囲に入っているかは別の話です。確かめ方はVPN脆弱性｜更新済みでも4割、誰が直すのかに書きました。本人の端末に残った認証の登録をどう外すかは多要素認証のやり方｜先に入れる2つのアカウントにあります。

一覧を作ったあと、どれから手を付けるかで止まってしまうことがあります。私たちはそこから中に入って、順番を決めるところを一緒にやっています。関わり方が状況で変わるため、費用は要相談としています。まず自社がどのあたりにいるのかを見てみたい、という段階でしたら、会社の課題診断が数分で終わります。

この記事で参照した一次情報

• 経済産業省「サイバーセキュリティ経営ガイドラインと支援ツール」（Ver3.0／3原則・重要10項目・付録F）
• IPA「中小企業の情報セキュリティ対策ガイドライン」（第4版／経営者編・実践編、付録3「5分でできる！情報セキュリティ自社診断」）
• IPA「組織における内部不正防止ガイドライン」（第5版／10の観点・33項目、退職者増加に伴う人的管理の対策）