セキュリティコンサルとは？ISMS取得支援・規程策定・CSIRT構築・経営の評価の種類と、期間・価格の選び方

セキュリティコンサルとは

セキュリティコンサルは、情報セキュリティの体制とルールづくりを外の専門会社が支援するサービスです。ISMSの認証取得、規程の策定、CSIRTの構築、経営層への説明の材料づくりまでを頼めます。

比較ページには、自社で提供する会社のサービスを、公式ページで確かめて載せています。継続して運用を担う顧問と運用代行、ソフトウェア、疑似攻撃のテストは別の比較です。

種類と違い

• ISMS認証取得型は、ISO/IEC 27001の認証を取るまでを支援します。取引先から認証を求められたときに向きます。
• ポリシー・規程策定型は、情報セキュリティポリシーと規程をつくるか、今の文書を直します。認証を取らない会社でも使えます。
• CSIRT構築型は、インシデントに対応するチームの体制と手順を決めます。今のチームの見直しにも使えます。
• 評価・経営計画型は、今の対策を基準に照らして評価し、優先順位とロードマップを決めます。経営層への説明の材料になります。

選び方

仕上げたいものを決める

認証の取得が目的なら、審査までの工程を示している会社を見ます。LRMのISMS取得支援は、第二段階審査までの流れを公式に載せています。社内の文書を直したいだけなら、ポリシー・規程策定型で足ります。

期間を確かめる

公式に期間を書いているサービスは多くありません。

• 日立ソリューションズのISO27001認証取得コンサルティングは、フルサポートで8カ月から、個別プロセスなら1カ月からです。
• 日立ソリューションズのCSIRT構築コンサルティングは、構築支援が3カ月からです。
• LRMのISMS取得支援は、公式の流れの図で6ヶ月目までの工程を示しています。

文書を誰が書くかを決める

書く人が社内にいるなら、雛形を使う形で足ります。BBSecの情報セキュリティ文書整備支援は、雛形だけの販売もできます。書く人がいないなら、LRMのように主要文書の原案を会社側がつくるサービスを見ます。

経営への報告を確かめる

経営層への説明まで頼みたいなら、報告の形を確かめます。

• NRIセキュアのサイバーセキュリティ経営ガイドライン対応支援サービスは、経営層向けの講演とプロジェクト責任者向けの報告会1回があります。
• PwCのグローバルセキュリティガバナンスは、経営層向けダッシュボードの策定と運用を扱います。
• S&JのCSIRT構築・運用支援サービスは、ロードマップ案を報告会で説明します。

価格の調べ方

公開価格を確かめられた製品はありません。ラックやNRIセキュアは個別見積と案内しています。範囲、対象の拠点、納める文書を決めて、同じ条件で複数社に聞きます。

頼むときの注意

• 認証の取得と日々の運用は別の仕事です。文書ができたあとに誰が運用するかを先に決めます。
• 認証は審査機関が判定します。コンサルティング会社は判定をしません。
• 継続して運用を担うかどうかはサービスで違います。構築だけなら、運用の担当を社内に置きます。