セキュリティがベンダーに関する決断の決め手に

マネージドサービスプロバイダ (MSP) が顧客のセキュリティ運営に及ぼす影響はかつてないほど大きくなっています。 顧客企業がユーザーを認証し、特権アクセスを保護し、ランサムウェア被害から立ち直り、機密データを管理し、最新のサイバー攻撃の脅威を阻止するうえで、MSPが日々下す決断は重要な意味を持ちますが、 こうした決断の是非を判断する社内リソースが概ね不足しているため、信頼し続ける以外の選択肢がない状況にあります。

こうした信頼は計り知れない価値と共に、 責任を厳格に問う風潮も生み出しています。

MSPは長年、機能性、統合可能性、導入しやすさとサポート品質を基準にベンダーを評価してきました。 当然、セキュリティも評価基準の1つでしたが、多くの場合、新規購入の決断においては、多数の判断基準の1つにすぎませんでした。 ところが現在、状況は様変わりしています。

その理由としてサイバー攻撃の被害額の高騰、脅威アクターの高度化、サイバーセキュリティ対策の実効性の証明を求める中小企業に対する規制当局と保険会社からの圧力の高まりが挙げられます。

また、サイバーインシデントの被害組織は、攻撃者がアクセス権を入手したルートだけでなく、信頼を寄せるベンダーが被害防止に役立つデューデリジェンスを実施したかどうかも調査するようになっています。 その理由は明白です。提携テクノロジー企業を選定する際、調達以外の幅広い要因が考慮されるようになっているためです。 具体的には、セキュリティ要件、ビジネス成果、リスク管理といった要因を重視する傾向が高まっています。

MSPが追加するセキュリティベンダーはそれぞれMSPの顧客のセキュリティ戦略に織り込まれます。 パスワードマネージャー、バックアップソリューション、リモートアクセスプラットフォーム、IDプロバイダ、特権アクセスツールが追加されるたびに、信頼レイヤーは拡大していきます。 ベンダーが期待どおりの役割を果たせば、顧客企業のリスク軽減に役立ちますが、 問題を引き起こした場合は、深刻な痛手をもたらす恐れがあります。

つまり、多数の顧客環境を管理しているMSPにとって、適切な提携テクノロジー企業の選定はセキュリティに関する最も重要な決断と言えるでしょう。

MSP独自のサイバーセキュリティリスク

現代のサイバー攻撃者は、脆弱性だけでなく、攻撃効果を大幅に拡大させる要因を標的とします。 その多くは、1度に1社を対象とするのでなく、多くの下流環境への侵入口となる信頼関係に目をつけるようになっています。 その点でMSPはうってつけの標的となります。

MSPは多数の顧客環境にわたって、インフラ、アイデンティティ、エンドポイント、バックアップシステム、リモートアクセスツール、セキュリティ制御を管理するのが通例です。 サービスプロバイダのうち1社が侵害に遭えば、その影響は広い範囲に拡大する可能性があります。

ベライゾンの2025年度データ漏洩/侵害調査報告書によると、侵害にサードパーティが関わる率は30％に倍増し、認証情報の漏洩は22％と、引き続き主な初期侵入口となっています。 また、IBMの2025年データ侵害に関する調査は、米国でのデータ侵害コストを平均1,022万ドルと算出しています。 個々の顧客環境の保護責任を負うMSPにとって、これらのデータはベンダーのデューデリジェンス、アイデンティティセキュリティ、特権アクセス管理に対するニーズの高まりを強調するものにほかなりません。

上記の2つの調査を総じて見ると、MSPが痛感している現実が浮き彫りになります。「攻撃者は侵入するとは限らず、 単純にログインするケースも多数にのぼっている」のです。

MSPは多くの信頼関係の中心にあり、その脇を固める各ベンダーのセキュリティ態勢が重要となります。 バックアッププラットフォーム、リモートアクセスソリューション、アイデンティティ管理システムのいずれかに脆弱性があれば、その影響は無数のクライアント環境全体に波及する恐れがあります。

結論として、顧客基盤が拡大するほど、影響も広範囲に広がります。

最近のサイバーセキュリティ訴訟で問われたMSPの責任

サイバーセキュリティにおける最も重大な変化は、侵害後に責任の所在を探る傾向の高まりにあると考えられます。 攻撃が発生する前に、妥当なセキュリティ対策が講じられていたかどうかに重点が置かれるようになっています。 このような責任の追及対象は、攻撃者だけでなく、顧客の環境を保護するために契約しているベンダー、コンサルタント、サービスプロバイダへと拡大しています。

こうした変化を表す最近の事例がいくつかあります。

CSOオンライン版の報道によると、CloroxはCognizantを相手取り、約3億8,000万ドルの損害賠償訴訟を提起しました。 本人確認手順と認証情報のリセット手順が想定どおり機能しなかったことが大規模な業務停止を招いたサイバー攻撃の一因であるというのがCloroxの主張です。

このケースが注目される要因として、原告側の主張の焦点が高度な技術的エクスプロイトでなく、本人確認にある点が挙げられます。 アクセス権を付与する前に、ユーザーの身元を正確に検証する適切な手順が設けられていたかどうかが主な論点となっているのです。 複雑な現代のサイバーセキュリティを尻目に、本人確認手順の単純な不備が、攻撃者につけいる隙を与えた可能性があります。

MSP界で話題となった別の訴訟には、サービスプロバイダとその提携テクノロジー企業が直接関わっています。 ChannelE2Eの記事によると、米カリフォルニア州サクラメントを拠点とする法律事務所、Mastagni Holstedtは、破壊的なランサムウェア被害を受けた後、そのMSPであるLanTechとバックアップベンダーのAcronisの両社を提訴しました。 同事務所が求める賠償額は100万ドルを超え、導入された技術と復旧機能に対する懸念を掻き立てています。

このケースで重要なのは、被告側が最終的に勝訴するかどうかではなく、 訴訟に持ち込まれたという事実にあります。 同事務所は単純に攻撃者に焦点を当てるだけでなく、 侵害の防止と復旧支援で信頼を寄せた組織にも鋭い追求の目を向けました。 こうした風潮は、BleepingComputerが報じた別の訴訟でより明確になっています。このケースでMarquis Software Solutionsはランサムウェア攻撃の被害がバックアップアプライアンスの侵害と関連すると主張して、SonicWallを訴えました。

上記のケースでは、関連する技術、業界、状況はそれぞれ異なっていますが、 総じて見ると、主張の根拠は共通しています。すなわち顧客組織は信頼するベンダーとサービスプロバイダに、インシデントを事前に予防する効果的なセキュリティ対策を実証するよう求めています。 Keeperの法律顧問であるデビッド・オスキンはこの見方に賛同する次のような発言をしています。

MSPを取り巻く法規制環境はますます複雑化しており、訴訟への備えとリスク管理の重要性が高まっています。

主張はさまざまでも、信頼に関わる点は共通しています。 さらに重要なのは、「プロバイダは顧客のためにリスクを軽減するために他に何かできたのではないか」という疑問が解消されていない点です。

組織は機密データの保護をベンダーに一任しています。 サービスプロバイダは必要な保護策を講じていると信頼し、 危機が発生したらセキュリティ技術が期待どおり動作すると信頼しています。 こうした信頼が損なわれたとき、顧客組織のセキュリティ態勢に寄与するすべての決断に目を光らせる必要があります。

MSPがアイデンティティセキュリティを最優先すべき理由

Cloroxのケースがこれほど注目を集めたのは、業界全体にわたる広範な課題を浮き彫りにしているためです。つまり、アイデンティティがサイバーセキュリティの主戦場となっているという課題です。

長年にわたり、組織は攻撃者の侵入を防止するうえで、境界防御に重点を置いてきました。 攻撃者はここ数年で、こうした防御に対する適応力をつけており、 セキュリティ制御を直接迂回しようとせずに、システムへのアクセスを制御するアイデンティティを標的にすることが増えています。その主なものとして、認証情報、特権アカウント、認証ワークフロー、ヘルプデスク手順、アクセストークンが挙げられます。

信頼されているアイデンティティにアクセスできるようになると、攻撃者は正当なツールや特権を使って環境中を自由に動き回れるようになります。 認証情報の窃取、フィッシング、ソーシャルエンジニアリング、特権の濫用が複数の業界にわたって最もよく使われる攻撃手法となっているのはそのためです。

MSPにとってこの課題はさらに深刻なものとなります。 多数の顧客環境を管理するうえで、多数のアイデンティティ、特権アカウント、認証イベントを管理することが避けられないためです。 管理者の共有認証情報、管理対象外のシークレット、脆弱な認証プロセスといった不安要素が増えるたびに、リスクレベルも上昇します。

リスクを最小限に抑えるには、基本的なセキュリティ制御策として、スタンドアロンツールよりもアイデンティティを優先する方が多くの場合効果的です。

MSPによるベンダー評価のあり方

現代のサイバー攻撃の脅威を前に、MSPはベンダーをより批判的な目で、厳格に評価する必要があります。 製品機能、サポート品質、導入しやすさも従来どおり重要な決断要因ですが、 セキュリティアーキテクチャの重要度を高める必要があります。

既存スタックに新ソリューションを追加する際、以下の疑問点を事前に解消しておきましょう。

上記の質問に対する回答により、最終的に、単純にセキュリティ機能を宣伝するベンダーと、ソリューション、アーキテクチャ、運用にセキュリティを組み込んでいるベンダーとが区別されます。

MSPベンダーの選定で、セキュリティアーキテクチャが重要な理由

現在、最も破壊的なサイバー攻撃と、それに続く多くの精査段階に共通する要素がアクセスであり、 MSPが提携テクノロジー企業を選定するうえでアイデンティティセキュリティが特に重要となる要因でもあります。

Keeper^®は、認証情報、特権アカウント、アイデンティティといった、攻撃者の標的となることが多い要素を保護するためのツールです。 ゼロ知識セキュリティアーキテクチャ、企業向けパスワード管理、特権アクセス管理、シークレット管理、エンドポイント特権管理機能を通じて、アイデンティティを悪用した攻撃を未然に防ぐのに役立ちます。

上記の特長を持つKeeperは、MSPが特権アクセスの使用状況をより明確に把握し、認証情報に対する保護を強化し、管理するすべての顧客環境を保護するために自信を持って推奨できるプラットフォームにほかなりません。

ベンダー選定基準の引き上げ

MSPがベンダーを導入するごとに、そのセキュリティ戦略の適用範囲は拡大していきます。 MSPの顧客は、特定のソリューションの選定理由を知ることはないかもしれませんが、そのソリューションに不具合があった場合、判断ミスの影響を受けるのは明らかです。

サイバーリスクが高まる現代において、ベンダーの選定で機能、料金、導入しやすさを比較するだけでは不十分です。 現代のサイバー攻撃の脅威に耐えられるだけのセキュリティアーキテクチャ、アイデンティティ保護、運用上の成熟度を備えるベンダーを選定することが重要です。

サイバー攻撃の脅威が進化し、説明責任が増大する中で、MSPのベンダー選定の決断は、管理するすべての顧客環境の回復力を左右することになります。

MSP用パスワードマネージャーの無料トライアルを開始して、堅牢なゼロ知識暗号化と顧客を保護するために構築された高度なセキュリティ機能を備えるプラットフォームを今すぐご活用ください。