カジノサイト

セキュリティ設計 101: 複雑な設計要素に関するベスト プラクティス

効率的なセキュリティ ソリューションの設計と実装は、綿密な計画、調整、実行が必要なプロセスです。体系的なアプローチを使用することで、組織は独自のニーズに合わせてセキュリティ インフラストラクチャを調整できます。

複数のシステム、プロセス エンジニアリング、または複雑な統合を伴う効果的なセキュリティ設計には、組織化された部門横断的なアプローチが必要です。技術的アプローチとガバナンス的アプローチの両方に根ざしたベスト プラクティスに従うことで、これらの設計プロジェクトは導入を成功させることができます。  

「プロジェクトのライフサイクルの早い段階で堅牢な一連の運用要件を取得することが、適切な設計を確立する鍵となります。」ゴールドマン・サックスのグローバル セキュリティ担当バイスプレジデント、ラリー・リチャーズ氏は述べています。「堅牢または具体的な一連の運用要件がなければ、実装の管理は非常に困難になります。」

デザイン前

主要な関係者の特定、技術的専門知識、徹底的なプロジェクト文書など、設計前の考慮事項に対処する必要があり、これらが設計の基礎となります。

プロジェクトの枠組みを確立する初期段階をナビゲートするには、系統的なアプローチ、主要な関係者全員が揃っていることの保証、および明確なロードマップが必要です。プロジェクトのガバナンスと組織だけでなく、プロジェクトの機能要件と財務要件にも対処する必要があります。

プロジェクトのガバナンスと組織。プロジェクトを開始する前に、まず関連するすべての利害関係者を特定します。これには、さまざまな分野や部門にわたる意思決定者が含まれます。たとえば、IT とネットワーキング、サイバーセキュリティ、企業セキュリティなどをすべて考慮する必要があります。運用スタッフや最終エンド ユーザーも含めることができます。

利害関係者が誰であるかを知ることは最初のステップにすぎません。また、各人の権限と責任の範囲を含め、プロジェクト内での各人の役割を明確にする必要があります。利害関係者を決定するときは、情報の受け取り、分析、フィードバックの生成のためのタイムラインを設定する必要があります。

プロジェクトの文書化、コミュニケーション、エスカレーション計画など、設計プロジェクトのさまざまな段階で利害関係者の特定も重要です。誰がどのような種類の意思決定を行うのか、そしてそれを実現するためのプロセスを知ることで、プロジェクトが予定通りに予算内に収まる可能性が高くなります。

一連の具体的な運用要件がなければ、プロジェクトの実施の管理は困難になります。

機能要件。完成後にビジネスを実現または提供するために、セキュリティ システムには何が必要ですか?現実世界のシナリオでシステムが何をどのように実行すべきかを可能な限り詳細に説明することで、組織に最高の投資収益率を提供します。

十分に文書化された機能要件は、適切なプロセスを調整し、構成とプログラミングの効率的な使用例を開発するのに役立ちます。物理的な ID とアクセスの管理、ケース管理、一斉通知などのシステムは、コンセンサス主導の機能要件、文書化、マッピングの側面から大きな恩恵を受けます。

同様のドキュメントは、機能要件フェーズを通じて到達した詳細な操作シーケンスによって構成と実装の明確なロードマップを提供できる他の統合ソリューションでも重要です。これらの統合ソリューションには、銃撃犯の検出や境界防御などが含まれます。

設計の基礎。承認された機能要件とプロセス マッピングは、設計の技術的基礎 (BoD) に反映されます。よく考えられた取締役会はセキュリティ プロジェクトの基礎を形成し、さまざまな要素を結びつけ、結果が意図した目的を達成することを保証します。

設計フレームワークを確立するには、セキュリティ プロジェクトの範囲、標準、基準の概要を示す青写真を作成することが重要です。このブループリントは参照点として機能し、プロジェクトのライフサイクル全体を通じて意思決定を導きます。

設計フレームワークの構築に不可欠な部分の 1 つは、依存関係とサポート インフラストラクチャの認識と分析です。これは組織の管理面、運用面、技術面に当てはまります。これらの依存関係を明確に識別することで、結果として得られるセキュリティ インフラストラクチャが堅牢で組織のエコシステムにシームレスに統合され、最終的にその効率と有効性が強化されます。

運用上の依存関係には、人員要件、トレーニング、既存のプロセスとの調整が含まれます。これも時間のかかる分析であり、多くの場合、新しいプロセスや手順が作成されることになります。

技術的な要件と依存関係には、セキュリティ システムをサポートするハードウェア、ソフトウェア、ネットワーク コンポーネントを理解することが必要です。サイバーおよび IT コンポーネントにはかなりの検討が必要になる場合があります。プロジェクト全体の時間を無駄にしないように、このフェーズでは評価時間を並行して実行できます。

管理上の依存関係には、ポリシー、手順、規制ガイドラインまたは規制機関への準拠が含まれます。

設計段階

プロジェクトの設計段階には、文書の作成と調整の両方が含まれます。すべての要素が連携すると、チームワークが統合された、よりまとまりのあるプロジェクトが完成します。

ドキュメント。ドキュメントは反復的なことが多く、完全な設計パッケージが完成するまでに数回の草案が必要になる場合があります。ただし、効果的なセキュリティ システムの財務要件と運用要件を完全に理解する必要があります。

セキュリティが日常の業務運営にどのような影響を与えるかを理解することが不可欠です。受付からバックオフィス、警備員、スタッフに至るまで、現場の人々から洞察を得ることで、設計を次のレベルに引き上げることができます。この理解により、セキュリティ システムが堅牢であるだけでなく、実用的で日常の業務運営にスムーズに統合されることが保証されます。これを達成するには、機能要件の文書化と運用上の洞察を組み合わせる必要があります。

プロジェクトの財務要件を文書化するときは、初期投資と、メンテナンスや更新などの継続的な年間運用コストを含めてください。完全な財務文書には、セキュリティ、IT、ネットワーキング、およびサーバー構築チームへの支出を明確に示す明確な予算が記載されている必要があります。これには、予期せぬコストが発生した場合に対処するための予期せぬコストや不測の事態の特定も含まれます。このような慎重な資金計画は、プロジェクト全体が現実的かつ持続可能であることを保証し、利害関係者が情報に基づいた意思決定を行えるようにするために非常に重要です。

最後に、学際的なデザイン要素を忘れずに特定してください。役割間で効果的に調整することで、仕事の全範囲を網羅できる可能性があります。

調整。調整はあらゆる分野にわたって必須の努力です。これがなければ、頻繁な遅延、目に見えないコストが発生し、設計目標を満たさない結果や要素の衝突が発生する可能性があり、最終的には後退につながる可能性があります。

少なくとも、セキュリティ、IT、サイバーセキュリティ、不動産のチームを設計プロセスに含める必要があります。

セキュリティ部門からは、管理者、オペレーター、システム ユーザー、経営陣が含まれていることを確認してください。 IT ネットワークおよびインフラストラクチャ担当者は、多くの場合、エントリ ポイント、ユーティリティ、サーバーおよびネットワーク アーキテクチャ チーム、情報およびサイバーセキュリティ、データベースおよびデータ管理者に関与します。

受付からバックオフィス、警備員、スタッフに至るまで、現場の人々から洞察を得ることで、設計を次のレベルに引き上げることができます。

組織のサイバーセキュリティ チームと早い段階で連携して、回復力、データ プライバシー、セキュリティ要件を理解してください。選択したベンダーを早い段階で会話に参加させ、情報セキュリティ チームがベンダーの承認を最終決定する際に検討、評価、調整を提案する十分な時間を確保できるようにします。

また、不動産関係者、建築家、施設、運営などの企業の不動産チームと早期に連携する。これらのチームと早期に協力することで、物理空間と運用のビジョンへの理解を向上させることができます。

調整は、求められているソリューションのセキュリティ目的と、変更管理、施設、運用、不動産、およびその他の影響を受ける部門への影響について、個別のチームを教育するのに役立ちます。要件、実装、管理の各段階で展開をどのように管理するかについて、調整されたビジョンとロードマップを作成します。

利害関係者間の調整という課題は、「要求が厳しいですが、やりがいがあります。会社の資産、人材、評判を守るために自分自身に大きな期待を寄せているため、厳しいものです」とリチャーズ氏は語った。 「そして、やりがいがあると言うのは、業界の専門家と一緒に働くことを心から楽しんでいるからです。…活用し、学ぶことに興奮している知識や専門知識が豊富にあります。」

完全なチームを編成し、各グループの連絡先を把握し、設計前段階で確立した意思決定プロセスを通じてチームを調整できるようになったら、調整のリズムを確立することに取り組むことができます。

すべてのレビューと承認のプロセスと、プロジェクトを進めるために各チームのどのメンバーが必要かを認識してください。

リチャーズ氏によると、一連の具体的な運用要件がなければ、プロジェクトの実施の管理は困難になるという。 「これは、終わりのない変更命令が原因であり、多くの場合、適切な情報を適切なタイミングで適切な関係者と調整することができないという結果につながります。」とリチャーズ氏は付け加えました。

現場調整

現場での調整により、すべての可動部分が所定の位置に収まり、システムの実装が最終的にシームレスで効率的になることが保証されます。

実装、構成、緊急時対応計画。現場調整の最初のステップであるプロジェクト実施計画には、段階、責任、タイムライン、リスクを軽減するためのエスカレーション手段の概要を記載することが含まれます。計画が設定されたら、設計要素の検証を続行できます。これにより、ハードウェアとソフトウェアが設計の基礎の一部として作成された仕様と確実に一致します。

組織のニーズを念頭に置いてセキュリティ システムのソフトウェアを構成します。これには、アラームとアラーム応答、ビデオ設定、およびアクセス コントロール プラットフォームまたはビデオ管理システム (VMS) を介したアラームまたはアラート通知が含まれる必要があります。可能であれば、アクセス制御と VMS を統合し、エンド ユーザーがシステム全体を監視、応答、管理できる単一の視点を生成します。

場所と適用範囲を調整することは、インフラストラクチャの反復と緊急時対応計画への準備段階です。このステップでは、現場の状況に応じて最大の適用範囲と効率を実現するためにセキュリティ デバイスを戦略的に配置することが含まれます。テクノロジーや現場の状況の変化を考慮した適応可能な計画を立てることで、現場での潜在的な変化を予測します。こうした変更は、最も洗練された計画であっても発生する可能性があります。

ユーザー受け入れテストと試運転。計画されたシステムが意図したとおりに動作し、重大な問題がないことを確認する 1 つの方法は、現実世界のシナリオをシミュレーションすることです。

プロジェクトの開始時に、個別の開発、テスト、実稼働環境をセットアップします。テスト環境を使用すると、ベンダーとユーザーは、隔離された影響のない環境でシステムを構成、変更、調整し、フィードバックを提供できます。この構成は、エラーのない本番切り替えの真の差別化要因となる可能性があります。

最後に、厳密な最終テストを実施して仕様への準拠を確認し、正式な所有者の承認につながります。

プロジェクトの終了

プロジェクトの最終的な詳細は、これまでのすべてのことと同じくらい重要です。プロジェクトの前進をサポートするクローズアウトを必ず完了してください。

延長保証の設定。通常、セキュリティ インテグレータには、労働力と資材に対して 1 年間の保証が付いています。延長保証契約は通常、2 年目から 5 年目までに開始されます。多くのセキュリティ デバイス メーカーは、通常 2 ～ 5 年の範囲でより長い製品保証を提供しているため、この延長保証の費用は、取り付けられている材料と修理の応答時間に基づいて交渉する必要があることに注意してください。これはハードウェアのセーフティ ネットのようなもので、ストレス レベルを抑制します。

ソフトウェア サポート契約 (SSA)。もう 1 つ含める必要がある継続的な要素は、ソフトウェアが保守、更新、パッチ適用され、エンタープライズ環境で最適に実行され続けることを保証する 1 つ以上の SSA です。これにより、予期しない不具合や更新によって最終的なセキュリティ体制が損なわれるのを防ぐことができます。

調整は、求められているソリューションのセキュリティ目的と、変更管理、施設、運用、不動産、およびその他の影響を受ける部門への影響について、個別のチームを教育するのに役立ちます。

マネージド サービス プラン。マネージド セキュリティ サービス プランを検討してください。すべてを監視する、たゆまぬセキュリティの第一人者として考えてください。あマネージド セキュリティ サービス プロバイダー(MSSP) は、電子メール スキャン、ファイアウォール ルール、侵入防御および検出システム構成、Web スキャン、その他の IT プロセスなどのさまざまなサービスを組織に提供できます。サイバーセキュリティと IT に関する考慮事項を超えて、MSSP はセキュリティ情報およびイベント管理 (SEIM) に関連するサービスも提供できます。

役割と責任。最後に重要なことですが、役割と責任を明確にしてください。重要なのは、セキュリティ プロジェクトの最終仕上げに向けて、全員が同じ認識を持っているかどうかを確認することです。このことは準備段階で十分に理解できるはずですが、ここで変更や期待を固めます。

セキュリティの課題が進化する中、ベスト プラクティスを遵守し、構造化されたアプローチを採用することが、組織の資産を保護し、ビジネスの継続性を確保するために最も重要です。

さまざまなコンポーネント、手順、関係者を含む効果的なセキュリティ システムを設計するには、十分に準備された体系的なアプローチが必要です。ベスト プラクティスに従うことで、組織にとって最適なシステムの導入を成功させることができます。

Mohammed Atif Shehzad は、フルサービスのセキュリティ コンサルティング会社である Atriade の創設者兼マネージング ディレクターです。彼は、プログラム開発、戦略的マスター プランニング、およびエグゼクティブ レベルのプログラム スポンサーシップの経験を持っています。 Shehzad は、Atriade 企業顧客向けのプログラム開発と管理の取り組みも監督しています。

サイフ・ノマーニは、Atriade のデザインおよびテクノロジーのディレクターです。彼はセキュリティ システムの設計と実装プロジェクトを監督し、設計成果物の監視とプロジェクト管理を提供します。彼の 20 年以上のデザイン経験は、企業および金融部門、高等教育および幼稚園から高校まで、製薬および医療サービスを含むいくつかの分野に及びます。

ジョン ホールは、Atriade の上級セキュリティ コンサルタントです。設計および建設管理で 25 年以上の経験を持つジョンは、Atriade の設計プロジェクトのオンサイトおよびフィールドのスペシャリストです。彼の重点分野は、設計調整、現地調査と技術評価、ユーザー受け入れテスト、試運転です。