セキュリティを「判断の切り口」で整理する——入口・手続き・運用の3軸
この記事が想定する読者：セキュリティで何から手を付けるか分からず、一塊で考えがちな担当者。
判断を誤るとどうなるか：セキュリティを一塊のままにすると、何が重要か曖昧で優先が「声の大きさ」になり、根拠を説明できない。先に入口・手続き・運用の3軸で棚卸しし、1単位ずつ期限と担当を置くと失敗しにくい。
何を「1単位の判断」にするかが、セキュリティの優先順位を決める
「セキュリティで何から手を付ければいいか分からない」
その原因の多くは、セキュリティを一塊で考えていることです。
この記事では、セキュリティをどう「切って」考えれば判断しやすいかを、3つの軸と「分母・分子」の置き方で整理します。
First byte の「判断の質」「前提設計」とそのままつながる考え方です。
なぜ「判断の切り口」が必要か
セキュリティは範囲が広く、「全部やる」は現実的ではありません。
にもかかわらず、
- 「何が重要か」が曖昧なまま対策が並ぶ
- 優先順位が「声の大きさ」や「なんとなく」で決まる
- 判断の根拠を説明できない
といった状態になりがちです。
切り口を決めると、
- 何を1単位の判断にするかがはっきりする
- 優先順位の根拠（最大損失×起こりやすさ）を同じ言葉で議論できる
- やらないこと・後回しに理由を付けやすくなる
「判断の切り口」とは、セキュリティを、判断可能な塊に分けるための軸です。
3つの軸：入口・手続き・運用
First byte のセキュリティ関連記事やツールでは、入口・手続き・運用の3つで切っています。
入口——どこから崩れるか
「重要なものは、どこから触られるか」を棚卸しする軸です。
- 管理画面・ログイン・決済・申込み・問い合わせ・予約・API など
- 「一番大事な入口はどこか」に答えられないとき、最初にやることは「対策の追加」ではなく、入口の棚卸しです。
入口が分かると、「どの入口を先に守るか」を1単位ずつ判断できます。
手続き——本人確認・承認が強いか
「本人確認や重要な変更の承認が、突破されにくいか」を見る軸です。
- 「本人です」と言われたら復旧してしまう
- メールアドレス変更・権限変更が簡単
- 重要な手続きに二重確認がない
このどれかが当てはまると、攻撃者は技術ではなく手続きを狙います。
手続きの軸で切ると、「どの手続きを先に強くするか」を1単位ずつ判断できます。
運用——記録・検知・改善が回っているか
「記録が残るか」「異常に気づけるか」「見直しができるか」を見る軸です。
- 事故時に何が起きたか追えるか
- 失敗試行・異常アクセスを検知しているか
- 優先順位を定期的に見直しているか
運用の軸で切ると、「どこまで記録・検知・見直しを入れるか」を1単位ずつ判断できます。
この3軸で棚卸しすると、専門用語ゼロ記事の「3つの穴」や、経営者向け記事の「守る対象・最大損失・起こりやすさ」と、同じ土俵で議論できます。
セキュリティ棚卸し＆優先順位ツールも、入口・重要手続き・運用のグループでスコアを付け、優先度を出せる設計になっています。
優先順位の「分母・分子」を置く
優先度を 最大損失 × 起こりやすさ で見るとき、分母と分子を分けておくと、判断がぶれません。
- 分母：守る対象・入口の数（「全部でここまでが範囲」）
- 分子：いま手を付けることの数（「この中から、期限と担当を置くもの」）
「全部やる」ではなく、分母を認めたうえで、分子を「TOP10」や「今期の3つ」に絞ると、
「なぜこれを先にやるか」「なぜあれは後回しか」を説明しやすくなります。
経営者向け記事の「直す順番を決める（全部やらない）」と、技術者向け記事の「4つの単位（ログ・権限・復旧・交通ルール）」は、この分子を具体化したものです。
1単位の判断にする——期限と担当を置ける大きさに切る
「セキュリティ対策をやる」を1塊で考えないようにします。
代わりに、
- 「入口Aの交通ルールを、2週間以内に方針だけ決める」
- 「手続きBの二重確認を、来月から義務化する」
- 「運用Cのログ取得範囲を、今期にリストアップする」
のように、1つずつ期限と担当を置ける大きさに切ります。
こうすると、「やった・やってない」がはっきりし、判断の積み残しが減ります。
セキュリティ棚卸しツールの「期限・担当・例外理由」は、この1単位の判断を記録するための欄です。
よくある誤解：「切る」と漏れが出ると思いがち
「3軸で切ると、どれかが抜けるのでは」と心配になりがちです。
しかし、切らないまま一塊で考えると、何が抜けているか見えず、優先順位も付けられません。
3軸は「網羅するため」ではなく、判断可能な単位に分けるための軸です。
漏れを減らすには、棚卸しを一度やり、見直しのタイミング（月次・四半期）を決めておく方が効きます。
判断の土台として押さえておくこと
- 入口・手続き・運用の3軸で棚卸しする：どこから崩れるか・手続きが強いか・記録・検知・改善が回っているかを切って考える。
- 優先順位を分母・分子で置く：分母は守る対象・入口の数、分子は今やるべきことの数。「全部やる」を避け、1単位ずつ判断する。
- 1単位の判断に期限と担当を置く：「入口Aの交通ルールを2週間以内に決める」など、説明できる大きさに切る。
次の一手：攻撃者の目的と手法を判断の切り口にする／技術者向け：判断の単位を揃える／セキュリティ判断ハブ
まとめ：切り口が揃うと、判断が説明できる
セキュリティを、
- 入口・手続き・運用の3軸で棚卸しし、
- 優先順位を分母・分子で置き、
- 1単位ずつ期限と担当を置ける大きさに切って判断する
と、「何から手を付けるか」「なぜこれを先か」「何を後回しにするか」を、同じ言葉で説明できるようになります。
First byte の「判断の質」「前提設計」で言う前提を揃える・判断可能な言葉に落とすことと、そのまま対応しています。
次に読む（学習パス）
- セキュリティを判断の軸で整理する（読み方・記事一覧）：セキュリティ関連の記事・ツールの入口
- 専門用語ゼロでわかる：Webの安全は「カギ」じゃなく「手続き」で決まる：前提となる「3つの穴」とたとえ話での整理
- 経営者向け：セキュリティは「技術」ではなく「損失の期待値」を下げる投資である：費用対効果で優先順位を決める方法
- 技術者向け：セキュリティは「実装」の前に「判断の単位」を揃える：ログ・権限・復旧・交通ルールの4単位
- 前提設計：成果を出す前に、判断を壊さない"土台"を作る：判断の順番を揃える考え方
- セキュリティ棚卸し＆優先順位：3軸でスコアを付け、直す順番を出し、TOP10をCSV出力
- セキュリティ自己診断：入口と対策の棚卸しを無料で行う
- 進め方（Method）：前提設計→仮説→予算→判断ログ→1枚資料まで、判断の循環を体験する