月一回のセキュリティ確認。変化・未対応・必要な判断をそろえる

毎月すべてを調べ直すより、会社の変化と前回の宿題を見て、次に決めることを整理する。

確認の回数より、何を判断するかを決める

NISTのCSFプロファイルは、組織の現在と目標の状態を整理するための考え方を示しています。SONAEは、その考え方を参考に、小規模な会社が定期的に変化と残課題を見る会議を提案します。月一回はこの運用例の頻度で、NISTがすべての会社へ指定する周期ではありません。会議を開いたことより、どの業務のどの状態が変わり、誰の判断が必要かを見える形にすることを目標にしましょう。

最初に、前回から変わった範囲を見る

入社や退職、新しいSaaS、AI連携、外部共有、担当交代、契約の変更などを集めます。変更がないという回答にも、誰が何を確認したかを付けます。すべての設定画面を毎月最初から見直す必要があるとは限りませんが、重要な業務や高い影響の変更は別途確認します。管理表にない新サービスが見つかった場合は、利用を責める前に目的と所有者を聞き、承認や情報の扱いを確認する課題へつなげます。

宿題は、状態と証拠をセットで追う

前回の未対応、進行中、確認待ち、期限超過を一覧にします。実施した担当から対応したと聞くだけでなく、何を見れば結果を確認できるかを整理します。権限の変更、手順書の更新、復元の演習などでは、完了の条件がそれぞれ違います。架空の例では、退職者の残る連携一件について、解除の依頼、反映の確認、業務への影響を別々に追います。件数が減った理由が削除なのか、実際の完了なのかも分かる表にしましょう。

数字は、範囲と未確認を添えて使う

認証の対象数、更新が遅れた端末数、復元試験の対象などは、分母や取得した日がないと意味が変わります。把握できた端末だけの結果を全社の達成率へ広げません。前月と数え方が変わった場合は、その変更も説明します。攻撃を防いだ件数などを根拠なく作るより、担当不在の課題や期限を超えた重要な改善が何かを見ます。安心を演出する一つの点数に集約せず、判断に必要な限界を残しましょう。

担当だけで決められないことを上げる

予算、作業の停止時間、契約、他部署の協力が必要な課題は、必要な判断と選択肢を整理して責任者へ渡します。放置か全部対応かという二択にせず、対象を絞る、暫定措置を使う、期限を決めて残すなどの案と影響を示します。残すリスクを兼任担当が黙って引き受ける形にしません。決定者、判断日、期限、見直す条件を記録し、次の会議では同じ議論をやり直すより、条件が変わったかを確認します。

会議の終わりに、次の一件を明確にする

完了の目安は、今回決めたこと、担当、期限、確認方法が残り、未確認と判断待ちを隠していないことです。資料を作る時間が増えすぎる場合は、重要な変化と必要な判断へ絞ります。緊急の問題を次の月例まで待つ運用にはせず、別の連絡経路も準備します。定期確認はすべての攻撃を防ぐ保証ではありません。日々の通知や変更管理、専門的な支援をつなぐ場として、会社の規模に合う形で続けられるようにしましょう。

相談前の確認表

• 月一回を一律の義務として説明しない
• 変化と前回の課題を先に確認する
• 数字に対象と未確認を添える
• 判断と次の担当・期限を残す

参考資料（確認日：2026年10月23日）：NIST：CSF 2.0 Profiles ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。