毎週発行されているパートナーNewsより選り抜きの記事をご紹介！ 第二十回　『セキュリティポリシー：システム運用』 ● 外部委託とアウトソーシング（その2） ■ セキュリティポリシー：システム運用 ● 外部委託とアウトソーシング（その2） 企業の外部委託への期待は、単なるコスト削減策に留まらず、勝ち残りを賭けた競争優位性の獲得や、スピード経営を実現する手段へと進化しています。外部委託によって企業にもたらす効果は、経営的視点から新概念、未来像等さまざまに語られますが、一般的に以下のようなメリットがあるとされています。 ・受託側のスケールメリットを利用したコスト削減 ・専門スキル不足の解消 ・コアコンピタンス業務へのパワーシフト ・環境変化への迅速な対応 ・新規ビジネスの効率的な展開 ・コスト算出の明確化 ・トレンド技術の導入期間の短縮 しかし、外部に委託する事によりリスクを伴う場合もありえます。リスクの検討主体においては、作業コスト/作業の質的には外部に委託したいが、委託作業で取り扱う情報の価値と緊急時の対応を本当に外部に委託しても良いのか、という点であると考えます。 外部委託する場合の考慮点を以下に示します。 ・委託対象のイニシィアティブを確保出来るか ・委託対象技術の空洞化(社内に技術が蓄積されない)に耐えられるか ・委託対象作業感覚の鮮度維持が出来るか ・委託対象の障害対応を外部に依存しても良いのか ・サービス提供内容を適切に評価することが出来るか ・委託費用の妥当性を検証することが出来るか ・秘守性のあるデータを外部に出しても良いのか いずれにしても、外部委託対象とするか、自営とするかの見極めは、上記メリット/デメリット(考慮点)を勘案してバランスを取る事が肝要です。 ● サーバ運用管理アウトソース導入手順 アウトソース対象とアウトソーシングする事による有効性が明確になった後、導入のための必須作業について、手順に沿って実施する必要があります。 ＜アウトソース導入手順＞ No. 作業項目 作業内容(設定事項) 1 アウトソース適用範囲の策定 機密性/重篤性等から、自社で行わなくてはいけないパートを分類し、アウトソース適用可能範囲を明確にします。 2 管理範囲と責任分界点の策定 アウトソース適用可能範囲に対し、物理的/論理的観点から、責任分界点を設定します。 3 アウトソース要件前提条件の策定 アウトソースシミュレートを行い、要件定義を行う上での前提条件を明確にします。 4 リスクポイントの策定 アウトソースシミュレートを行い、障害/災害時に影響度が高いパートを、リスクポイントとして策定します。 5 アウトソースバリューの策定 アウトソースシミュレートを行い、メリット/デメリットの選出とレベル付けを行い、アウトソースバリューを策定します。具体的には、イニシィアティブの確保、ノウハウ蓄積の継続化、作業感覚の鮮度維持の観点からバランスを保てるかどうかを検証します。 6 アウトソース費用予算の算出 アウトソースシミュレートを行い、アウトソースに掛かる、必要人員数/工数/リスクから、各パートに対する、アウトソース費用の予算を算出します。 7 アウトソース費用妥当性の検証 アウトソース費用予算から、対象となる現行の運用管理作業と比較し、費用の妥当性を検証します。 8 SLA項目の選定 アウトソース対象から、SLAとして必要不可欠なものを選定します。 【例】設定変更反映時間、障害検知から対応開始時間、障害対応開始時間から状況報告時間、情報(データ)の隠匿方法､情報(データ)の管理方式 9 SLA基準値の設定 SLA項目から、業務への影響が無い、最低限の基準値とSLA確認期間を設定します。 10 SLA保証影響範囲の策定 SLAを守れなかった時の業務への影響を想定し、影響範囲を明確にします。 11 SLA確認方式の策定 SLAが守られているか否かの確認方式を策定し、当該確認方式が妥当であるかを協議します。情報(データ)が管理方式通りに、実施出来ているかどうか、監査を可能にします。 ● サーバ運用管理アウトソース導入基準 サーバ運用管理アウトソースを導入する上で、以下を基準とします。 ・ アウトソース適用範囲基準 アウトソースの適用範囲は、責任分界点と役割分担を明確に切り分ける事が可能な範囲を対象とし、アウトソーサとの共有によるトラブル、不具合、管理不能、非効率作業の発生を避ける必要があります。また、適用範囲の機密性、重要度が大きく、重篤度が高まるものに付いては原則アウトソース対象外とします。 ・ 高重篤度情報・アウトソース適用基準 社外秘情報といった、重要な情報を扱う、もしくは参照する事が可能な業務をアウトソーシングする場合、アウトソーサに対し情報の暴露、漏洩、改竄、破壊を行わない旨の誓約書を事前に記述させ、セキュリティ管理の実施状況(管理方法・責任者・担当者・特記事項)の報告説明義務と、監査権限を設ける必要があります。万が一、誓約書に反する行為が行われた場合のペナルティについてはSLAに記述します。 ・ アウトソーサ選定基準 IT企画部門がアウトソース計画を立て、アウトソース適用範囲を決定します。 アウトソーサの選定基準として、アウトソース範囲と価格、アウトソースサービス内容を検討します。 ・ アウトソーサ評価基準 アウトソーサが本当に必要な仕事をしているかを把握し、その対価としての支払いが適切であるかを、以下の基準を基に客観的に評価します。 【アウトソーサ評価基準】 　　　　(1)　SLAは、守られているか。 　　　　(2)　定期的な報告書は上げられているか。 　　　　(3)　緊急時の対応は迅速であったか。 　　　　(4)　契約時間内での対応は可能であったか。 　　　　(5)　アウトソース範囲外の業務に影響を与えなかったか。 コラム・タイトル一覧 第十九回　『セキュリティポリシー：システム運用』(1)　← 　 →　第二十一回　『セキュリティポリシー：システム運用』(3)