情報セキュリティ投資

以下のデータからもわかるように、セキュリティに対する継続的な注視はセキュリティ関連の製品やサービスのセールスを確固なものとしています。
・PricewaterhouseCoopers の報告書による新興分野にみる情報セキュリティ投資と、2011 年の世界のサイバーセキュリティ
投資は 600 億ドルに達し、今後 5 年間は、
毎年その投資額の 10％の増加が予測されています。報告書によると、⽶国ではプライ
ベートセクターと政府の均等に投資が⾏わ
れている⼀⽅で、他国ではほぼプライベー・

セキュリティ投資の⼀部には、データロス、モバイ
ルセキュリティ、クラウドセキュリティといった新興分野への投資増加も含まれます。
・

トセクターが推進⼒となっていることがわあることから（Identity Resource Center デー

かりました。

タより）、Data Loss Prevention（DLP: データ
ロス防⽌）市場の成⻑はいうまでもありません。

ガートナーによると、2011 年の世界のセキ2010 年発表の IDC のデータでは、2009 年のュリティソフトウェアの売り上げは 177 億

DLP 市場は、$262.3 ミリオン（2.6 億ドル）とドルでした。これは 2010 年と⽐較し 7.5％推定。今後 5 年間で 20.2%の割合で成⻑を続け、の増加です。こうした売り上げの上位 5 企

2014 年には$658 ミリオン（6.6 億ドル）以上

業は、シマンテック、マカフィー、トレンとなると予測しています。2011/2012 年においドマイクロ、IBM、EMC で、市場の 44％をては$387 ミリオンから$472 ミリオンになると占めています。
・

IDC では、中⼩企業（SMB）のセキュリティテクノロジーの投資が、⼤幅な成⻑をみ予測されています。
・ています。Vision Gain は、グローバルでのモビ予測しています。SMB の IT 投資は、毎年 5

リティセキュリティ市場は 2012 年$1.6 ビリオ〜6%増加していくであろうと予測していン （ 16 億 ド ル ） に 達 す る と 予 測 。 Juniperて、セキュリティ製品やソリューションへ

Research は、2016 年までにモビリティセキュの投資は、その倍の速さで増加するであろリティソフトウェアプロバイダーは$3.6 ビリオン（36 億ドル）にもなるビジネス機会がある

うとみています。
Infonetics からのデータでは、ネットワー
クセキュリティ市場の収益が 2016 年までと想定しています。
・になると予測。Tech Navio のデータでは、2010のカテゴリにおける 2011 年の売り上げ上

年、クラウドセキュリティ市場はグローバルの位 3 社は、シスコ、Cehckpoint、Juniper

セキュリティ市場の 2%を占めていたことを⾔でした。

及。2014 年にはこの割合は 4%まで上昇するとIDC は、ワールドワイドのマネージドセキュリティサービス（MSS）市場が 2011 年に 149 億ドルに達すると予測していて、
2016 年には 261 億ドルになるとしています。ネットワークセキュリティサービス市
場は、2011 年から 2016 年にかけ、CAGR

Forrester の調査では、クラウドセキュリティは2015 年までに$1.5 ビリオン（15 億ドル）市場に 67 億ドルになることを⽰しています。こ・Vision Gain および Juniper Research のデータ
では、モバイルセキュリティの成⻑も指摘されせるとし、2015 年には 56 億ドルになると・

2012 年現在、漏えい被害件数は 900 万以上で発表しています。
・

企業がセキュリティ脅威の対応に追われるように、IDC では、セキュリティ市場は 2009 年の$198 ビリオン（1980 億ドル）から 2014 年には$905 ビリオン（9050 億ドル）まで成⻑するであろうと予測しています。

（年複利成⻑率）19.7％と、⾮常に⼤きな成⻑をするというデータが出ています。2011 年から 2012 年にかけてマネージドセキュリティサービ

スの世界でみた成⻑率は 12.6%でした。
・チャネルの観点からみると、セキュリティに関連するチャネル企業の 66%が、来年の収益の成⻑を⾒込んでいます。またそのうち 16%が、⼤幅な増加（10%以上）を予測しています。

InformationWeek Analytics が実施した戦略的セキュリティ調査では、昨年度と同様に、約 4 企業のうち
1 企業の割合で、彼らの IT 予算の 10％以上をセキュリティに投資していると回答していました。ROI の観点からみると、情報セキュリティへの投資は妥当であることがわかります。2012 年ノートンのサイバー犯罪報告書では、消費者サイバー犯罪の直接的コストは、世界で 1 千億ドルになると推定されています。
これは⼀⼈当たりの平均損失額が 197 ドルとなり、ソーシャルやモバイルといったプラットフォームでの犯罪数が増えていることがわかっています。Ponemon Institute 発表の、2011 年のデータ漏えいに関す
るコスト調査では、組織における被害額そして、盗難/紛失から⽣じた被害額の報告は昨年⽐で減少傾向にあるものの、それぞれ前者は 550 万ドル、後者は 194 ドル（1 件あたり）となっています。

サイバーセキュリティと IT 要員

情報セキュリティは、需要（デマンド）が供給（サプライ）を上回るという特異な分野の⼀つでもあります。Indeed.com の求⼈集積では、情報セキュリティの職数は 2006 年以降上昇を⽰しています。

⽶国労働統計局では、2011 年に情報セキュリティ分析者というカテゴリを設け、2010 年から 2020 年の10 年間における増加率を 22%と予測しています。全職業の成⻑率平均は 14%といわれています。2012
年(ISC)2 の Career Impact Study 調査では、必要スキルを持つ IT セキュリティプロフェッショナルの確保は困難であること、また回答者の 96%が雇⽤されていると回答しました。また、セキュリティの予算と雇⽤は増加傾向にあり、⼈員における優先ニーズはセキュリティであることがわかりました。CompTIAの「10th Annual Information Security Trends（第 10 回情報セキュリティ動向）」では、回答者 49%がセキュリティスペシャリストの雇⽤を検討していると同時に、既存スタッフのトレーニングを検討していると回答していました。

CompTIA の調査では、5 社のうち 1 社の割合において、IT セキュリティスペシャリストの雇⽤は難航したと報告しています。この数字は、昨年は 40%であったことから、⼤幅に低減していることがわかります。
外部データではセキュリティプロフェッショナルの需要の⼤きさを⽰していることから、昨年の雇⽤が停滞していたということにもなり得ます。

変化に対する反応
エンタープライズテクノロジーの主要な出来事

セキュリティ領域は、テクノロジー環境の構成や変化と密接に関係しています。ツールやプラクテ
ィスは既存の使⽤環境をもとに構築され、またテクノロジー変化があると、攻撃者はそうした変化
を攻撃のチャンスと捉えます。セキュリティは本
来多くの企業にとってより敏感に対応するべき項⽬なのです。つまり、テクノロジーを特定の⽅法で使うということがわかっているのであれば、そのテクノロジーのセキュア状態を保つための⼿順を踏まなければならないのです。将来利⽤されるかもしれないテクノロジーに必要となるセ

様々な種類の産業/機械テクノロジーがビジネスに⼤きな影響を与えましたが、90 年代半ばからテクノ
ロジーを⽀配していたのは情報テクノロジー（IT）です。IBM は、この期間を 5 つの類型に分けています。必ずしもすべてを包括するものではありません
が、テクノロジーおよびセキュリティでの変化を捉える上でのひとつの基準を提供しています。

・にビジネス⽤に使⽤されたコンピュータは専⾨

キュリティツールに投資する企業はほとんどい知識が必要とされた⾼価マシンでしたが、導⼊ません。

セキュリティ実践者の観点からみると、市場の変化にすばやく反応する必要性および、新しいテク

した企業は⼤きな競争優位性を実感することができました。
・

ザーにより近くなった第 1 ステージです。IT 部

います。テクノロジーは、広範囲的に導⼊される

⾨は、完全監視を必要としないコンピューティ

ことがわかっていることから「転換期」にあり、は、⻑期的な⾒⽅、過去の事例や現在の知識を今

ングの使⽤を検討することとなります。
・

物理メディアに保存することで仕事を⾃宅に持す。ネットワーク化されたオフィスやインターネ

ち帰ることが可能に。企業データの切り離しにット上のビジネスへの移⾏は新しいセキュリテ

クノロジーは今後重要な展開を⾒せるでしょう。

関するガイドラインの実施が進められます。
・ます。世界中に情報を発信することで、世界も企業システムにアクセスが可能と成り得るといでは、現在起きている変化を以下のように特徴付ュリティプラクティスに影響を与える要因として認識しています。
・57%: インターネットベースアプリケーシ
ョンへのさらなる依存インターネット：より速い接続性により、新しいビジネスモデルやセキュリティ要件が誕⽣しCompTIA の第 10 回情報セキュリティ動向調査

けいます。またエンドユーザーは、それらをセキ

PC: PC の導⼊を境に、エンドユーザーはテクノ
ロジーに精通し、多くの操作が可能になります。

後の可能性に活かすよう取り組みをするべきで

ィ⼿法をもたらし、進⾏中のエンタープライズテ

デパートメンタルコンピューティング（部⾨コンピュータ）：コンピューティングがエンドユー

ノロジーを積極的に検討する必要性があるとい

セキュリティベンダーやサービスプロバイダー

メインフレーム（⼤型汎⽤コンピュータ）：最初

う双⽅向のパスが⽣まれます。
・ソーシャルビジネス：さらなるコマンド＆コン
トロールの体制がエンドユーザーにゆだねられます。

・

55%: デバイス、システム、ユーザーのより⼤きなインターコネクティビティ（相互接続性）

・

51％: ソーシャルネットワーキングの上昇

クラウドコンピューティング、モビリティ、ソーシャルビジネスは、エンタープライズでのテクノロジーの在り⽅に変化をもたらす 3 ⼤要因としてあげられます。これら要因については以前の調査内容でも⾔及されましたが、ソーシャルネットワーキングが上位に⼊っているという点で異なります。攻撃者はこうしたトレンドの導⼊を悪⽤し、無防備となった脆弱性の発⾒を常に⾏っています。IT 部⾨やソリューション
プロバイダーは潜在する脅威に⼗分認識し、新たな防御策で迅速に対応しなければなりません。

モバイルデバイスの管理
モバイルセキュリティの懸念事項上位

モビリティは、クラウドコンピューティング
以上に、企業の IT フローやセキュリティポ
リシーに混乱をもたらすかもしれません。多

回答者の%が、懸念事項の「深刻性」を表します

くの IT 部⾨がメインの作業デバイスをラッ

33%

許可のないアプリケーションのダウンロード

プトップとしていることから、セキュアな領30％

企業デバイスの盗難または紛失域に留まることは困難であるように思えま29%

オープン Wi-Fi ネットワークに関連するリスクす。しかし消費者市場でのスマートホンやタ29%

マルバタイジング 悪意のある広告

ブレットの導⼊および使⽤は、企業レベルま28%

ソーシャルメディアに関連するリスク

で影響を与え始めていることから、企業は対

28%

モバイルデバイスに特定したウイルス/マルウェア

応を再検証する必要性に追われています。

スマートホンやタブレットにはメインの課題が 2 つあります。⼀つは、エンドユーザーは IT 部⾨が提供するデバイスの使⽤を好ましいと思わない点があります。社員は、スマートホンやタブレットに対する私的なつながりを強く感じることから、⾃⾝が好むデバイスの使⽤を望む傾向があります。これは BYOD（BringYour Own Device）を⽀える主な推進⼒となっています。

⼆つ⽬の課題には、これらデバイスはラップトップよりさらにクローズドの環境にあるという点です。IT部⾨は、スマートホンとタブレットに今まで同様の保護措置を取ることができないことから、制御された形での企業システムやデータのアクセスの管理が難しくなります。また、セキュリティ措置がインストー
ルされたことで、デバイス機能に影響を与える、⽣産性に影響を与えるといったことも考慮する必要があります。

許可のないアプリケーションのダウンロードは、セキュリティプロフェッショナルの間でも常に上位にあるセキュリティ懸念事項です。これはアンドロイドエコシステムでのマルウェアの増加が原因となっています。comScore の市場インテリジェンスデータでは、アンドロイドが US スマートホン市場の 53％を占めていることがわかっています。トレンドマイクロでは、アンドロイドマルウェアは予想成⻑の 2 倍の速さで進み、2012 年の終わりには 250,000 のマルウェアサンプルがみつかるだろうと予測しています。iOSもマルウェアの影響を受けないわけではありません。マルウェアフリーの 5 年間の後、2012 年 7 ⽉に App
Store で最初のマルウェア「Find and Call」が発⾒されました。

現時点においては企業におけるモバイルマルウェアは主要な問題としてはあがっていません。また、「セキ
ュリティ機能の無効化」の回答については、デバイスにセキュリティ機能をインストールしている企業の数に依存しています。（モバイルデバイスの解錠にパスコードを必要とする企業は 67%でした）

調査結果では、デバイスの紛失や盗難が最も⼀般的なセキュリティインシデントとしてあがりました。これは Mobile Device Management（MDM: モバイルデバイス管理）の概念を牽引しています。企業が実施するモバイルセキュリティインシデントの対策⽅法には、追跡ソフトウェアのインストール（47%）、
デバイス紛失時の⼿順書の作成（44%）、モバイルデバイスの暗号化の実施（43%）といったデバイスの追跡やセキュア化が中⼼となります。⼀年前のインシデント数から⼤幅な減少が⾒られていることから、これらの戦略はデバイスの紛失や盗難に効果を発揮しているようです。

モバイルセキュリティインシデントを経験したわずか 37%の企業は、正式なモビリティポリシーの作成に着⼿していることがわかりました。CompTIA の「Trends in Enterprise Mobility（エンタープライズモビ

リティの動向）」調査では、調査参加の企業のわずか 22％が、組織内に正式なモビリティポリシーが存在すると回答していました。また、そのようなポリシーを策定中であるとした企業は 20%でした。モバイル
デバイス使⽤は、多くの社員にとって⽇常となっていることから、アクティビティの許容範囲について適切に明記しなければなりません。モビリティのガイドラインはすでに存在するポリシーに付加的に作成されるのではなく、モバイルデバイスを使⽤する⼈員の割合や、業務フローへの影響を考慮し、モバイルデバイスだけの個別ポリシーを策定し、企業規定を明確にするのが望ましいといえるでしょう。

企業がモビリティ戦略を⽴てる⼀⽅、インテリジェントセンサや machine-to-machine（M2M）システムの⾼まりがモビリティカテゴリに⾒られ、そこにはセキュリティリスクも存在しています。センサからス
トリームされるデータはビジネスに有効となるよう分析がされますが、同時にサイバー犯罪者もデータの搾取⽅法に着⼿しているかもしれません。まずはデータの強⼒な暗号化が良いとされます。後にはセキュ
リティやプライバシーに関するベストプラクティスが紹介されるでしょう。このトピックについては、
CompTIA の An Introduction to M2M Systems ⽩書で確認することができます。

エンドユーザーにとって多くの権限を有することは多くの責任を意味します
IBM はエンタープライズテクノロジー時代の第 5 フェーズを「ソーシャルビジネス」としています。またソーシャルネットワークは、企業のコミュニケーションやコラボレーションの在り⽅を変える「⼿段」の代表例でもあります。ソーシャルメディアサイト（例：Facebook、Twitter、LinkedIn）上でのマーケテ
ィングや顧客コミュニケーション、またソーシャルビジネスツール（例：Jive、Telligent、IBM コネクション）を使ったインターナルのコミュニケーションやコラボレーションを実施など、ソーシャルテクノロ
ジーはエンタープライズに⼤きな影響⼒を与えています。

こうした影響に⽐例して、セキュリティへの懸念も増加しています。ソーシャルネットワークは私的な情報を共有するというコンセプトのもとにあり、ユーザーはソーシャルサイトを安全なプラットフォームとして閲覧する傾向があります。スパム送信者やサイバー犯罪者は、そうした⾒解を利⽤し攻撃を仕掛けます。知⼈から送られたかのようにみえる短縮 URL、ソーシャルサイトで実⾏される有害なアプリケーショ
ン、マルバタイジングと呼ばれる不正なバナー広告など、マルウェアやウイルスは様々な⼿法で展開されています。これらの中にはシステムにワームやトロージャンをもたらし、それらが深刻な脅威となって企業を脅かすこともあります。また、like-jacking（like ジャッキング）として知られる、不正操作を⾏うボットのようなものも存在します。

またソーシャル空間における深刻なセキュリティ脅威も存在します。ソーシャルエンジニアリングのスキームは、巧みな⾔葉や盗み聞きなどの⼿段によって、パスワード等の個⼈情報を⼊⼿することを⽬的としています。攻撃者は、ユーザーによって公開された情報を使い、なりすましをし、アカウントアクセスに必要となる情報のリクエストを⾏います。標的となるアカウントが企業である場合その被害は莫⼤なもの

と成り得ます。Wired のシニアライターである Mat Honan は、2012 年 8 ⽉に⾃⾝におきたハッキング体験を語っています。適切に保護されていないアカウントがいかに容易にハッキングされてしまうか、アカ
ウントを相互リンクさせること、個⼈/ビジネスアカウントでの同じパスワードの使いまわしの危険性を発表しています。

このような問題はコンシューマライゼーションとして考えられます。テクサポー
トに頼ることなく、コンピューティングリソースにアクセスし簡単に利⽤ができることで、より多くの⽣産性がうまれます。しかし、そのようなリソースを扱う
際、どのような事が違反/侵害⾏為と成り得るのかな
ど、ユーザーにセキュリテ
ィ知識が必要とされないことで⽣じるセキュリティリスクの可能性も存在します。

セキュリティインシデントを経験している企業は、コンシューマライゼーションが与える影響を理解しています。過去 2 年間をみても、⼈為的エラーが違反⾏為における要因として増加していることがわかっています。こうした⼈為的エラーは、悪意的な理由よりも、専⾨的知識の⽋如や、規律の怠りが原因と考えられています。

⼈為的要因に関しては、外的脅威からの保護とは異なるアプローチが必要です。テクノロジーの活⽤はもちろん、教育、トレーニング、ポリシー実施が重要なカギを握ることとなります。後半のセクションでは、コンシューマライゼーションの問題を検証し、企業のセキュリティへの取り組みに対す洞察を提供しています。

脅威の情勢IT の世界では、セキュリティ違反/侵害のニュースは⽇常的となっています。デジタルデータは、コンシューマやビジネスにおいてますます重要な役割を担い、そのデータはクラウドコンピューティングにつながっています。⼤きなセキュリティインシデントが起こる毎に、企業のセキュリティスキームの定期的アッ
プデートの必要性が浮き彫りとなり、ユーザーは変化する環境に注意をする必要があります。

機密情報に関わる違反/侵害事項は、企業の評判を傷つけ、⼩さな事項であっても企業の財務に影響を及ぼします。本レポートのセクション 1 ではセキュリティ脅威により発⽣するコストについて⾔及しましたが、データ回復、ウイルス除去に費やす時間が⽣じることから、収益⾯は直接的かつ間接的な影響を受けます。
セキュリティ脅威の⼀連はその⼤きさに関わらず、コストの蓄積に直結しているのです。

Symantec は、サイバーセキュリティ脅威の性質や発⽣数を分析するインテリジェンスレポートを⽉毎に発⾏しています。2012 年 9 ⽉の報告には、いくつかの共通項⽬における⾒解が含まれています。
・

スパム発⽣率： 75%（ワールドワードで送られるメールの 4 件中 3 件はスパム）・245 件中の 1 件は、フィッシングとして特定される・211 件中の 1 件は、マルウェアを含む

・

1 ⽇に 780 のマリシャスウェブサイトがブロックされている

これらの数字は変動をしますが、全体に共通した傾向があります。2010 年の半ば以降、スパムの数は徐々に減少し、マリシャスウェブサイトの数は 2010 年および 2011 年後半の急増時と⽐べ以前のレベルに戻っています。スパムの減少はあるものの、依然この分野はアクティブであることには変わりなく、攻撃者
は常に機会をうかがっています。E メール管理サービスを⾏う Baydin は、平均的な E メールユーザーは⼀⽇に推定 147 通を受信するといいます。これは個⼈および会社メールの両⽅をカウントしていますが、フィッシング/マルウェアの発⽣件数レートを⾒ると、E メールユーザーは毎週これらの脅威を⽬にしていることとなります。

また上記以外にも、テクノロジーの変化をついた新しい形態の攻撃も登場しています。
・

企業の⼤半が内部ポータルを持つことから、Advanced Persistent Threats（APT: アドバンスドパー
シスタントスレット攻撃）や Denial of Service（DoS: ドス攻撃）が、情報搾取やサービス提供の不能化を試みる攻撃者の⼀般的な⼿法となっています。

・iPhone や iPad の登場は、ラップトップ市場に波及効果を及ぼし、MacBook 市場は徐徐に下降しました。残念なことにこうした成功は標的にされやすく、2012 年 4 ⽉に 600,000 の Mac が Flashback
トロージャンに感染されるというニュースが流れました。これは、Mac を標的としたマルウェアの先駆けとなりました。

・

IPv6 プロトコルが広く導⼊され始めたこともまた標的原因となりました。サイバー犯罪者は、プロト
コルの脆弱性、IPv4 からインスタンスを移動する際⾒つかったいかなる脆弱性につけ込み、悪⽤することが可能です。

企業のセキュリティ対策は、外部からの攻撃者だけではなく内部漏えい（悪意のあるなしに関わらず）のリスクにも万全でなければなりません。また、複雑化する規制環境も整える必要があります。

CompTIA の「10th Annual Information Security Trends（第 10 回情報セキュリティ動向）」調査の参加企業は、これらのリスクを⼗分理解をしています。最⼤の懸念は、マルウェア、ハッキング、ソーシャ
ルエンジニアリングなどの外部的脅威に集中していました。悪意のある内部者による不正⾏為や、意図的ではない⼈為的エラーなどの内部的脅威はリストの下位にあがりました。

全般に、前回の調査よりも懸念レベルが減少していることがわかりました。その⼀例に、データロス/漏えいを「深刻な問題」としている率が、前調査では 54％であったことなどがあります。

この減少は、調査参加企業に起きた違反インシデントに対する認識に基づいているように思われます。第9 回情報セキュリティ動向の調査では、76％の企業が過去 1 年においてセキュリティインシデントを経験していました。最新の調査ではその数字は 61％まで減少しています。セキュリティの専⾨家は、⼀度何らかのインシデント経験をしている企業は、以降セキュリティをとても深刻に捉える傾向があるとしています。

しかし懸念レベルや発⽣件数の減少は、サイバー犯罪との戦いにおける進歩では決してありません。事実、多くの企業は、発⾒されることのなかった違反インシデントの存在を認めるでしょう。⼩さな違反インシ
デントやデータロスは⻑い期間気付かれないことがありますが、損害を与えることには変わりありません。

PandaLabs は、⽇々受信するファイル 206,000 件のうち 73,000 件は、新種マルウェアであることを報告しています。2011 年を「セキュリティ侵害の年」とした IBM の X-Force リサーチチームは、2012 年
9,000 もの新たな脆弱性が⾒つかるであろうと予測し、この数字は 2010 年の記録をしのぎます。ハッキ
ングとマルウェアはサイバー犯罪者にとって最も有利な⼿段であり、新しいテクノロジーの導⼊は、内部者が不正⾏為を⾏う機会となってしまうのです。

異なるアプローチ
従来のセキュリティテクノロジーは変化を続け、新たなテクノロジーが新たな問題に着⼿すべく始動しています。ファイアウォールがその良い⼀例といえるでしょう。ファイアウォールはパケットインスぺクシ
ョンをもとにネットワークトラフィックを内部でフィルターしますが、アプリケーションやプロトコルを理解するというレベルまで進歩しました。新しいテクノロジーには、Data Loss Prevention（DLP: デー
タロス防⽌）や、Identity Access Management（IAM: アイデンティティアクセス管理）の分野があり、セキュリティ製品が、クラウドソリューションやモバイルデバイスを活⽤している企業のニーズに応えようという取り組みを⾏っています。

しかし、これらテクノロジーは、より⼤きなセキュリティフレームワークで使⽤されるべきものなのです。
企業資産を保護するセキュア境界を作り上げることは⾄難であるいう概念が⼀般的に受け⼊れられている
⼀⽅、従来のファイアウォールを超え、テクノロジーは進歩しているという⽅向に議論は向かっているようです。現状においては、包括的アプローチが経営のトップレベルから全部⾨に渡って再度⾒直される必要があるようようです。

CompTIA の調査に参加した企
業の 3 分の 2 が、過去 2 年間において、⾃社のセキュリティに対するアプローチに変化があったと回答しています。劇的な変化があったと回答している企業もわずかながらありましたが、⼤半は適度な変化があったといいます。回答者は⾃⾝が所属する組織においてセキュリティの関与が⾼いことを踏まえると、彼らの⾔う「適度な変化」は、事業部⾨の社員からすると劇的な変化として捉えることもできます。

新たなセキュリティアプローチをもたらした要因には、IT 運⽤における変化があります。調査では 51％
がクラウドソリューションまたはモビリティ戦略の導⼊により、新しいセキュリティ戦略が組まれたと回答していました。また、他組織で発⽣したセキュリティ違反事項（44％）
、内部で発⽣したセキュリティ違反⾏為（31％）が推進⼒となっていることから、企業のセキュリティインシデントに反応する傾向がうかがえます。その他の推進⼒には、新しい知識のきっかけとなったトレーニングや認定資格の取り⼊れ、ビジネス運⽤における変化、新しい分野への取り組みがありました。

近年のセキュリティアプローチには、「リスク分析」と「エンドユーザーの意識」という主に 2 つの分野での取り組みがあります。多くの企業はセキュリティリスク分析に精通していて、様々なリスクレベルに応じた適切な取り組みを⾏う⼀⽅、未だ従来の発想で運⽤をしている企業もあるでしょう。⼀般に、企業はエンドユーザーがいる成⻑曲線からさらに後れを取るといわれ、顧客主導の IT 情勢においてユーザーにセキュリティの知識や責任を提供することの重要性を⼗分理解していないことが問題としてあります。

リスクの分析、軽減、許容度
リスク分析は、プロジェクトマネジメントの思考を持つ企業にとってはなおさら、ビジネスをする上で⽋かすことはできません。典型的な分析アクティビティには、リスク発⽣の確率、潜在する影響の推定、緩和/回避戦略の決定が含まれるでしょう。緩和/回避（ミティゲーション）を作り上げるまでの時間と労⼒は、（リスク発⽣の）確率やその影響に直接関連してきます。

企業情報を（物理的またはデジタルであろうと）単に機密箇所に保管していた時代は企業のリスク分析に対するアプローチはよりシンプルであったかもしれません。いかなる機密レベルの情報も、同じ扱いでセキュアな境界に置かれていたでしょう。また、そうした情報へのアクセスは、社内または VPN からであっても企業デバイスに制限することで、より容易な管理とされていました。PC が家庭で使⽤され始め、ノー
ト PC が仕事のメインデバイスになっても、従業員が企業データを誤って外部に共有してしまう可能性はそれほど⾼くはありませんでした。

クラウドコンピューティングとモビリティのトレンドが、⽐較的短期間のうちに上記のような状況を⼀変させることになります。定義によると、パブリッククラウドコンピューティングでは、データを企業管理の外に置くことをいい、利⽤できる企業システムがなければモバイルデバイスで⽣産性を⾼めることも⾮常に困難となります。企業は、どちらの条件が打撃となるのか評価するのではなく、より強固な防御が必要となっているのです。

当然すべてのデータやシステムに強⼒な防御を確保することは費⽤がかかります。サーバーのアップタイ
ムを例にして考えてください。もし、年間 100 万ドルの収益になるシステムが、99.9％（Amazon Web
Services SLA で定義される）アップタイムのハードウェアで稼働をしているとしたら、年間 19 ドルの損失となるダウンタイムは約 10 分間ということになります。99.99%アップタイムを達成することで、ダウンタイムは 1 分に減らせることになりロスは 1.90 ドルになります。しかし、年間 20 ドル未満のために新たなバックアップソリューションを⾒つけることはないといえるでしょう。

同様のコスト構造はセキュリティ他の⾯にも⾔えることができます。セキュリティ防御に「⾃信あり」と答えている企業は 5 社のうち 1 社の割合にとどまりますが、組織によってはクラウドやモバイル環境においてすべてのデータをセキュア化し「万全」な状態にするために必要な投資をまかなえないという現状もあるようです。

結果として、企業は特定の技術を⽤いてリスク軽減をする、という違う⽅向からの戦略を始めています。
また特定の種類のデータはクラウドソリューション向きではないと判断される場合もあります。企業の財
務データ、クレジットカードデータ、知的財産に関するデータは社内で保管されるのが⼀般的とされます。
またクラウドモデルを活⽤するためプライベートクラウドを作る企業もあるかもしれません。

リスク分析の注意点の⼀つに、IT 部⾨だけにとどまらないということがあります。その他のテクノロジー
分野がそうであるように、セキュリティは企業全体の課題であり、リスクマネジメントの要件にかなうものとなります。すべてのエグゼクティブ（または利害関係者）は、何がリスクとなり、企業のビジネスにとってどの分野が最も重要となるのかを統括的に決定しなければなりません。CFP、CMO、事業部のエグ
ゼクティブは、データに関する意⾒を提供し、CIO はセキュリティに関連するコストや複雑性について提案することができるでしょう。

エンドユーザー教育の強化

クラウドコンピューティング、モビリティ、ソーシャルメディアは「IT のコンシューマライゼーション」
トレンドの象徴といえます。セクション 2 では、クラウドおよびモビリティで問題となる懸念事項を取り上げましたが、ソーシャルメディアから⽣じる脅威はプロバイダーレビューやデバイスマネジメントを通して容易に想定できるものではありません。

セキュリティ脅威における⼈為的要因は増加しています。エンドユーザーは、時に IT チームの管理下でない状況でも、デバイスやビジネスクラスのシステムをコントロールすることが可能となっています。エンドユーザーは、これらシステムを活⽤することもできますが、セキュリティの予備知識や経験不⾜から潜在する脅威に気付かないこともしばしあります。

⼈為的要素を特に危険なものにしてしまう原因に、リスクの⼤きさに気付くまでに時間がかかるという点があります。セキュリティ脅威について聞いたところ、回答者は外部から来る脅威（マルウェア、ハッキ
ング、フィッシング）に対して⼀番強く懸念を⽰しました。それと⽐較すると、エンドユーザーや IT スタ
ッフ間の⼈為的エラーへの懸念は低く評価されていました。ですが過去２年間のデータを⾒ると、70％以上が⼈為的エラーは減少しておらず、むしろ悪化していると回答しています。

セクション 2 で⽰した通り、企業は「⼈為的エラー」が違反事項やデータロスの原因として上昇していると認識しています。第 10 回⽬の調査では 54％が「⼈為的要因」をセキュリティ違反の原因としてあげています。これは第 9 回⽬の調査 52％からの上昇となります。

不満を抱く社員がアクセス権を持つことから、問題を起こしたり機密情報を盗むといった、悪意を伴う⼈
為的要因も⼀部存在するかもしれませんが、多くのケースにおいてはセキュリティ⼿順の不履⾏や知識不⾜から引き起こる不意の⼈為的エラーであることがわかります。

テクノロジーはこの問題を完全に解決できるわけではありません。セキュリティ脅威やその環境を理解する専⾨家はセキュリティツールが最も効果的といいます。今⽇のビジネスには、従業員⼀⼈⼀⼈がセキュ
リティ環境において意識や知識のレベルを上げる必要があるというジレンマがあります。それは、認定資格を持つサブジェクトマターエキスパートといった⾼いレベルではなく、ベストプラクティスが何であるかを理解することができるレベルをいいます。

また、エンドユーザー教育やトレーニングは、セキュリティ違反をなくすための主な⼿段といえるでしょう。これは、専⾨家にセキュリティを委託している企業、必要となるツールに単に⽀出をしていただけの企業にとって⼤きな⽅向転換となります。また IT 部⾨やソリューションプロバイダーにおいても、ユーザ
ーベースに⾃⾝の知識を効率的に啓発する⽅法を⾒つけなければなりません。

IT セキュリティの「製品」を強調しすぎるとその他の 3 つ分野「ポリシー」「プロセス」「⼈」において盲点ができてし

セキュリティトレーニングで考慮するポイント
・

トレーニングは継続的に⾏われる必要があります。セキ

まいます。セキュリティに強い企業は 4ュリティトレーニングはワンタイムまたは年に⼀度のつ全ての分野に焦点を置いています：

実施といった考えを持つマネジメント層に説明するの「ポリシー」は企業のガイドラインを定義し、「プロセス」は保全を⾏い、「製品」
はモニタリングを⽀援し、最後に「⼈」は困難であるかもしれません。
・ょう。フィッシングのシミュレーションや、紛失を装い任をより⾼めることができます。テクノ

上するため活⽤が可能であり、企業はサイバーセキュリティのリスクにさらされないためにも全体でセキュリティに取り組む必要があるのです。

インタラクティブトレーニングは、概念を明確にするだ
けではなく、従業員にとっても有意義なものとなるでしはトレーニングされることで意識や責

ロジーはワークフォースの⽣産性を向セキュリティ脅威は変化し続けるものであることから、

USB メモリを置いておくなどはその⼀例です。
・

ベースラインや追跡⽅法を決めておくことが重要です。
例えば、フィッシングシミュレーションにおいては、不審リンクをクリックしてしまった従業員は初回時 40％であったことを記録します。後のシミュレーションでプ
ログレスを⾒るためこうした数字は追跡できるようにしておきます。