企業向けセキュリティには小さすぎ、省くには曝露しすぎ：香港デザインスタジオのスターターバンドル

要点： 従業員15名の香港のデザインスタジオは、二百名規模の企業向けに設計されたセキュリティ見積もりばかりを受け取り、この規模では本物のセキュリティは手が届かないと結論づけた。そんなことはない。定額のスターターバンドル——4つのマネージドサービスを、チーム規模別の公開価格で、25ユーザーまで月額399米ドルから——は、スコーピング作業なしに小規模スタジオへ実質的なベースラインを与える。そしてそれは、フルの管理型ITプランと同じ梯子の一段目である。

この業界：企業向け見積もりには小さすぎ、セキュリティを省くには曝露しすぎている

香港のブティック系デザイン・クリエイティブスタジオは、居心地の悪い隙間に位置している。10〜20名のスタジオは、はるかに大きな企業と同じだけの曝露を抱えながら、それに対処するための組織的な仕組みを何一つ持っていない。

その規模のスタジオを実際に通過しているものを見てほしい。クライアントのブランドアセットと未公開のキャンペーン制作物。多くは秘密保持契約の対象だが、その契約は「運用上どう守るか」をあまり考えずに署名されている。他の誰よりも競合にとって価値のある写真・動画ファイル。契約書と料金表。複数の市場にまたがるフリーランスへの支払い情報。ときにはクライアント自身の顧客画像や製品データ——撮影のために渡され、正式に返却されないままになっているもの。そしてそのすべてが、4年前のある午後に誰かが設定した Microsoft 365 あるいは Google のテナントに置かれ、毎晩持ち帰られクライアント先にも運ばれるノートPCに置かれ、あるアーカイブの唯一のコピーを収めた机の下の外付けハードディスクに置かれている。

IT部門は存在しない。いるのは、クリエイティブディレクターを兼ねる創業者と、経理も兼ねるオペレーション担当と、「困ったときに呼ぶ人」——手早く、料金も良心的で、プリンターが止まると来てくれる人物である。

これはスタジオの経営を批判しているのではない。管理業務に費やす一時間は請求できない一時間である、というビジネスモデルの記述である。問題は、この種の事業者が接するセキュリティ市場が、彼ら向けに作られていないことにある。

シナリオ：三通の見積もり、いずれも他人の寸法

以下は特定の実在企業ではなく、この規模のスタジオが実際にどう動くかに基づいて構成した複合的なシナリオである。

香港のあるデザインスタジオは従業員15名、創業15年。あるクライアントの調達チームが、リテイナー契約の更新前にセキュリティ質問票を送ってくる。攻撃的な内容ではない。多要素認証について、端末のパッチ適用について、従業員がセキュリティ研修を受けているかについて、そして Microsoft 365 の構成をレビューしたことがあるかについて尋ねている。そのうち4問に、創業者は正直に「はい」と答えられない。

そこで彼女は当然のことをする。見積もりを取って回るのである。

一社目はマネージドSOCと24×7監視の提案を送ってくる。二社目は見積もりの前にディスカバリー・ワークショップを実施したいと言い、人日単価を提示する。三社目は本当に周到なセキュリティプログラム——EDR、SIEM、四半期ごとのペネトレーションテスト、インシデント対応リテイナー——を、ジュニアデザイナーの年収に相当するあたりの価格で提示してくる。

どの一社も不誠実ではない。三社とも、このスタジオの数倍の規模の企業に対しては正しくスコープされている。しかし創業者はいま三つのデータ点を手にし、そこから誤った結論を引き出す。*このレベルのセキュリティがセキュリティの価格なのであって、うちには払えない。だからもっと大きくなってから考えよう。*

見積書は引き出しに入る。質問票は曖昧に埋められる。何も変わらない。そして重要なのはここである。スタジオが行き着いたのは「少なめのセキュリティ」ではない。ゼロである。MFAの強制なし、パッチ運用なし、フィッシング研修なし、Microsoft 365 テナントがいま何を許可する設定になっているかの把握もなし。

「企業グレードのプログラム」と「何もない」の間の隙間こそ、多くの小規模スタジオが実際に暮らしている場所であり、そこに向けて売っている者はほとんどいない。

その隙間が15名のスタジオに与えている実際のコスト

偽の二択が恒久状態になる。 創業者は判断を「企業レベルの支出か、何もしないか」と枠づけ、後者を——暫定措置として——選んだ。見直し日のない暫定措置は恒久措置である。二年後、スタジオは20名になり、預かるクライアント素材は増え、答えは同じままである。

クライアントのデューデリジェンスの質問は易しくならず、難しくなる。 調達質問票は香港でも日常化しつつあり、しかも初回取引時の形式ではなく更新の条件になりつつある。大きなクライアントが尋ねるのは、彼ら自身の監査人が彼らに尋ねるからである。うまく答えられないスタジオは、たいてい「セキュリティを理由に失注しました」とは告げられない。ただ静かに候補リストに載らなくなり、その理由を知ることもない。

曝露は理論上のものでも、高度なものでもない。 小規模なクリエイティブ企業が高度な攻撃の標的になることはまれである。彼らが遭遇するのはごく普通の事象だ。乗っ取られたメールボックスからクライアントへ偽の請求書が送られる。三年前に「リンクを知っている全員」に設定され、以後見直されていない共有リンク。パッチの当たっていないノートPC。プロジェクト終了から18か月経ってもアクセス権が残っているフリーランスのアカウント。いずれも攻撃者が賢い必要はない。誰も見ていなかったことが必要なだけである。

保険も契約も、統制の存在を黙って前提にしている。 サイバー保険、そして近年はクライアント契約そのものが、基本的な統制が整っていることを前提に書かれている。署名時に誰も検証しない。検証されるのは保険金請求のときか監査のときであり、その前提の綻びを発見する時点としては最悪である。

創業者は、判断する根拠を持たない判断を背負わされている。 これは過小評価されているコストである。彼女はITの購買担当ではなく、それぞれ別のことを述べている三つの提案を比較する基盤を持たず、そしてどの会話も「まずスコーピングの打ち合わせを」で終わる。公開価格がないことは些細な不便ではない。それこそが「何も起きなかった」理由である。

Brocentの見解：もっと大きな予算を待つより、実際に始めるほうがよい

Brocentは2007年に北京で事業を始め、以来アジアでIT運用を担ってきた。2016年から香港に拠点を置き、2021年からはグループ本社をシンガポールに構えている。その仕事の相当部分は、従業員100名を大きく下回る企業が相手である。上に書いたパターンは珍しくない。それが標準である。

そこから導かれた結論は、あまり格好よくない。この規模の企業にとって、「完璧に設計されたセキュリティプログラム」と「率直に言って十分なプログラム」の差は小さい。そして「率直に言って十分」と「何もない」の差は途方もなく大きい。小規模企業を襲う普通のインシデントの多くは、平凡な4つのことで防がれる。自社の Microsoft 365 テナントが実際にどう構成されているかを知ること。何がインターネットに露出しているかを知ること。決められた周期で端末にパッチを当てること。そして従業員がフィッシングメールを見分けられるよう訓練すること。どれも風変わりではないし、二百名規模の予算を必要とするものでもない。

それが購入されない理由は価格ではない。スコーピングである。4つのサービスを4社から買うということは、4回の購買折衝、4本の契約、自分で回す4つのツール、4枚の請求書を意味する。IT担当が一人もいないスタジオにとっては、そのどれ一つ回せない。だからこそセキュリティ・スターターバンドルは定額パッケージとして存在する。25ユーザーまで月額399米ドル、26〜75ユーザーで749米ドル、76〜150ユーザーで1,290米ドル。電話のあとに提示されるのではなく、ページに掲載されている。150ユーザーを超えると、CISベンチマーク監査およびエンタープライズ管理型ティア配下の個別案件になる。

このバンドルの正直な位置づけはこうだ。これは小さな管理型ITプランではないし、そう見せるつもりもない。公開価格で提供される、定義の明確なベースラインである。創業者が、時間の取れないスコーピング通話を三本設定する代わりに、午後のうちに判断できるようにするためのものである。

実務ではどう見えるか

4つのサービスを、一つのチームが一つの協調したプログラムとして運用し、請求書は一枚。

Microsoft 365 セキュリティ監査、年次で再実施。 クイックセキュリティチェックである。Microsoft Secure Score のレビュー、CISA ScubaGear による自動ベースラインチェック、MFAと条件付きアクセスのクイックチェック、優先順位づけされた上位20件の発見事項、そしてその意味を説明する1時間のウォークスルー。「テナントを一度もレビューしたことがない」への回答がこれである。特筆すべき点として、このチェックは150ユーザーまでのチームには単体で無償提供されている。バンドルが加えるのは、一度きりのスナップショットではなく、マネージドプログラムの一部として毎年再実施されることである。

マネージド脆弱性スキャン、月次。 エッセンシャルティアの外部スキャンを、マネージドで毎月再実行し、CVSSスコア付きの発見事項レポートを提供する。「何がインターネットに露出しているか」を、一度きりではなく繰り返し問うということである。

四半期ごとのフィッシングシミュレーション。 マネージドのシミュレーションキャンペーンと、部門別の結果レポート。15名のスタジオにとって「部門別」の意味は限られるが、価値は同じである。悪意ある者より先に、誰がクリックするかが分かり、その傾向が改善していく。

継続的なパッチ管理。 OSおよびサードパーティ製ソフトウェアのパッチ適用を継続的に実施し、月次のコンプライアンスレポートを提供する。日常的な曝露のうち最大の割合を静かに閉じる統制であり、エージェントとレポートがなければ最も放置されやすい統制でもある。

レポーティングはサービスと同じくらい重要である。監査もスキャンも標準書式のレポートを生成する——オンライン、PDF、Excel——リスクスコアのゲージとエグゼクティブサマリー、Identity・条件付きアクセス・エンドポイント・Defender のモジュール別発見事項、優先順位づけされた是正リスト、そしてスキャン間の推移線。毎回同じ構造であり、まさにそれが、来年クライアントの調達チームが同じ質問をしてきたときに役立つ理由である。

開始プロセスは意図的にセルフチェックアウトではない。0日目にフォームを送信すると、香港拠点のチームが1営業日以内に電話でスコープを確認する。3〜5日目には標準MSA配下の1枚もののオーダーフォームに電子署名する。個別の法務レビューは不要である。その後、Microsoft 365 の読み取り専用同意を付与する（所要約15分）。あわせて端末リストと、研修プログラム用の従業員リストを共有する。2〜3週目にはプログラムが稼働する。最初の監査レポートが提出され、最初のスキャンが実行され、パッチエージェントが展開され、フィッシングキャンペーンが構築される。以後は毎月一本の統合レポートで、署名時からNET 30で請求され、契約は月次自動更新、変更は1か月前通知である。

バンドルが「何ではないか」も明確にしておく価値がある。リモート提供であり、オンサイト訪問は含まれない——それは別のディスパッチサービスである。優先順位づけされた是正ロードマップは渡されるが、修正の実施は別途スコープされる。レポートは標準書式一種類で、ホワイトラベル化はされない。そして24×7の緊急対応は含まれない。それはフルの管理型ITプランに属する。15名のスタジオにとって、これらの除外事項はどれも痛くない。効いてくるのは成長してからであり、それが次節の主題である。

小規模スタジオがこの問題を扱う三つの方法

セキュリティ支出をまったくしない

• 理由： 「うちは小さすぎて狙われない。それに市場にあるものはもっと大きな会社向けの価格だ。」
• コスト： 現金では発生しない。
• 得られるもの： Microsoftの初期設定がたまたまどうなっているか、それに最後に何かを設定した人がそのとき決めた内容。テナントを見た者はおらず、スケジュールに沿ってパッチが当たるものは何もなく、研修を受けた者もいない。
• 本当の問題： これは「少量の保護」ではなくゼロであり、しかも不可視である。クライアントや保険会社と同じ瞬間に、あなたもそれを知ることになる。

企業規模でスコープされた見積もり

• 内容： 本当に優れたセキュリティプログラム——EDR、SIEM、24×7監視、定期的なペネトレーションテスト、インシデント対応リテイナー——を、あなたの数倍の規模の企業向けに正しく設計したもの。
• 得られるもの： 買えるのであれば、本物の包括的な保護。
• コスト： 知るのにスコーピング通話を要し、承認するのに取締役会レベルの議論を要する金額。このスタジオにはそのどちらもない。
• 本当の問題： 間違ってはいない。寸法が合っていない。そして寸法の合わない見積もりは、「小さめの購入」ではなく「購入ゼロ」を確実に生む。スタジオは既定値として一つ目の選択肢に戻る。

中小企業向けにスコープされた定額スターターバンドル

• 内容： 4つのマネージドサービス——M365監査、脆弱性スキャン、フィッシング研修、パッチ管理——をチーム規模別の公開月額で。25ユーザーまで月額399米ドルから。
• 得られるもの： 実質的なベースライン、一つのチーム、一枚の請求書、一本の月次レポート、そしてスコーピング作業なしに下せる判断。
• コスト： ゼロよりは高く、企業向けプログラムよりはるかに安い。自分で別々のベンダーから組み立てた場合、おおむね同等のツール群でライセンス費が月額250〜420米ドル程度、加えて数千ドル規模の監査費用がかかり、しかも4つのプラットフォームを自分で運用し、困ったときに呼ぶ相手はいない。
• やらないこと： 24×7緊急対応、実作業としての是正、オンサイト対応。これらはフルの管理型ITプランにあり、成長したスタジオが次に行き着く先である。

よくある質問

スターターバンドルには実際に何が含まれますか

一つのプログラムとして運用される4サービスです。Microsoft 365 セキュリティ監査（Secure Score レビュー、ScubaGearベースライン、MFAと条件付きアクセスのチェック、上位20件の発見事項、1時間のウォークスルー、年次で再実施）、月次で再実行されるマネージド外部脆弱性スキャンとCVSSスコア付きレポート、四半期ごとのマネージド・フィッシングシミュレーションと結果レポート、そしてOS・サードパーティの継続的パッチ管理と月次コンプライアンスレポート。提供は完全リモート、監査とスキャンは毎回オンライン／PDF／Excelの標準レポートを生成し、監査ごとに優先順位づけされた是正ロードマップとデブリーフ通話が付き、指名エンジニアによる営業時間内のメール・チケット対応が含まれます。

15名のスタジオにとって、この保護で十分ですか

その規模のスタジオの多くにとっては、実質的で説明可能なベースラインです。そして、多くのスタジオが実際にいる「もっと大きな策を検討している間は何もない」という状態より、はるかに前進しています。小規模企業の普通のインシデントの大半を占める4領域をカバーします。含まれないのは24×7の監視・対応、実作業としての是正、オンサイト対応です。これらが必要かどうかは人数よりも「何を預かっているか」で決まります。厳格な秘密保持契約のもとで上場企業の未公開案件を扱うスタジオや、規制対象のクライアントデータを扱うスタジオは、ベースラインではなくフルの管理型プランを検討すべきです。

バンドルを卒業したらどうなりますか

ティア設計は、成長を再スコーピングではなく一段の移動にするためのものです。25ユーザーまで、26〜75、76〜150はいずれも公開価格で、150ユーザーを超えるとCISベンチマーク監査およびエンタープライズ管理型ティア配下の個別案件になります。実際には、多くのスタジオはティアの上限より先にバンドルのスコープの限界に達します——24時間対応が欲しい、是正を実際に誰かにやってほしい、オンサイト支援が欲しい、端末標準が欲しい、退職時の権限剥奪プロセスが欲しい。そこが会話が管理型ITプランに変わる地点であり、それはベンダー変更ではなくプラン変更です。

これはフルの管理型ITプランの代わりになりますか

なりませんし、そう売るべきでもありません。バンドルはセキュリティのベースラインです。管理型ITプランは運用モデルです——指名チーム、サービスデスク、端末管理、入社・退職のプロセス、指名vCIOと技術ロードマップ、そして24時間の対応体制。バンドルが24×7緊急対応・実作業の是正・オンサイト対応を意図的に除外しているのは、まさにそれらがプランに属するからです。単機能ベンダーではなく当社からバンドルを買う理由は、それが同じ梯子の一段目だからです。同じ事業者、同じレポート、同じ担当チーム。だから後の移行はマイグレーションではなくプラン変更になります。

人が増えると価格はどうなりますか

人数比例ではなくティア制です。25ユーザーまで月額399米ドル、26〜75で749米ドル、76〜150で1,290米ドル。一つのユーザー／エンドポイント数が4サービスすべてをカバーします。「ユーザー」とは、Microsoft 365 アクセス・意識研修・エンドポイント保護を合わせて必要とする従業員数です。共有ワークステーションのように1対1比率を超える端末は、事前見積もりではなく契約時にスコープします。16人目を採用しても請求額は変わりません。25人を超えるとティアが一つ上がります。

クライアントのセキュリティ質問票への回答に役立ちますか

それはこのバンドルの実用的な使い道の一つです。標準書式の監査・スキャンレポートは、Microsoft 365 の構成、MFAと条件付きアクセス、パッチ適合状況、外部露出、セキュリティ意識研修について、主張ではなく日付・発見事項・推移線を伴った文書化された回答を与えます。あらゆる質問票のあらゆる設問に答えられるわけではありませんし、認証でもありません。しかし「たぶん大丈夫です」から「こちらが先月付のレポートです」へ動かします。調達チームにとって重要なのは、たいていその差です。

契約期間の最低条件はありますか

月次自動更新で、変更は1か月前通知、当社の管理型IT契約と同じ標準マスターサービス契約に基づきます。ご相談自体に費用はかからず、オーダーフォーム署名後に初回請求がNET 30条件で発行されます。正直に申し添えると、これらは専門役務の案件であるため、作業開始後の返金はありません。その代わり、購入前にサンプルレポートを確認できるので、何を買うのかを正確に見たうえで判断できます。

Microsoft 365 を使っていません。それでもバンドルは意味がありますか

監査コンポーネントは Microsoft 365 と Entra ID に特化しているため、完全に Google Workspace で運用しているスタジオは、パッケージのその4分の1から得るものが少なくなります。脆弱性スキャン、フィッシングシミュレーション、パッチ管理はプラットフォームに依存せず、いずれの場合も適用されます。その状況にあるなら、一部が当てはまらないパッケージを買うより、まずご相談いただいて適切な形を決めるのが正直な答えです。そして混在環境の多くでは、その答えはバンドルよりもマネージドプランに近い形になります。

バンドルの位置づけ：一段目であって、目的地ではない

セキュリティが何もないスタジオに必要なのは戦略ではない。今月、スコーピング作業なしに実際に購入できるベースラインである。セキュリティ・スターターバンドルはそのためのものであり、リードマグネットではなく公開価格の実在する製品である。

しかし4社の単機能ベンダーではなくBrocentから買う理由は、その後に起きることにある。15名のスタジオが30名のエージェンシーへ成長したとき、必要になるのは大きなバンドルではない。プレゼン前日にノートPCが壊れたときのサービスデスク、新入社員が初日から仕事に入れる端末標準、フリーランスの案件終了時に実際にアクセスを剥奪する退職プロセス、後追いではなく技術ロードマップを所有する誰か、そして営業時間を選んでくれないインシデントのための24時間体制である。それが管理型ITプランであり、その内側にある管理型ITセキュリティサービスは、バンドルが小さな規模でやっていることの成熟版にほかならない。

同じ事業者であるため、この移行はマイグレーションではなくプラン変更になる。監査の履歴は引き継がれ、同じ担当チームが継続し、レポートも同じ書式のまま続く。当社のプランはユーザー単位・市場別に価格が設定され、料金ページで公開されているので、次の一歩の費用を二年後のスコーピング通話で知るのではなく、今日確認できる。

クライアントの質問票が机の上にあり、引き出しには三通の見積もりがある創業者であれば、有用な次の一歩は四通目の見積もりではない。お問い合わせのうえ、実際に買えるベースラインから始めることである。そのあとは、業務にプランを追随させればよい。逆ではなく。