セキュリティー管理責任者はいま何を考えるべきか

企業のリスクをマネージする戦略考
セキュリティー管理について責任を持たされたあなたは、いま何をしなければならないのか。セキュリティー管理に使用できる技術を買するための道筋を作るい付けることがあなたの最初に行わなければならない仕事だろうか。 第一回 「判断」
実はそれは誤りである。組織として、合理的な判断と迅速な対応ができるための基盤を組織的に作り出すこと、危機対応体制をうまく組織に作りこむことである。
text :

山口英 奈良先端科学技術大学院大学情報科学研究科教授

最近、どの組織でもセキュリティー管理

そ、想定されるリスクが異なり、結果としるのか、どのような種類の情報資源がどをどのように強化するかについての議論て各組織でのセキュリティー管理の実施の程度存在しているのか――CISOならが盛んである。数年前であれば、まずセ方法が千差万別になるのは当然なのだ。

ばセキュリティー管理体制を考えるには、キュリティー管理の重要性を理解しても一方、この多様性が、セキュリティー管理技術的な視点からの基礎情報を得ることらうことから始めなければならない状況がの難しさを高めている。特に、どのようなは必要不可欠だ。

大半であった。しかし、ネットワークを介技術を使用して、どのように運用するのか

しかし、基礎情報を得る作業を始めた

して伝播するコンピュータウイルスの大量については、他の組織の事例は参考に瞬間に、実は情報処理基盤にかかわるほ感染、インターネット環境で多発する不なるものの、その方法を単純に移植してかの存在に気が付くはずだ。情報処理部

正アクセス事件、あるいは、個人情報なも役立たない。各組織に適合する個別門が管理しているシステムを使って、たとどの情報漏洩事件などが近年頻発したこ化が必要となる。

えば営業部門がセールス活動を行い、さらに別の部門がセールス活動のデータをとから、いまやセキュリティー管理の重要性はシステムの管理運営に携わる技術者

CISOは誰と仕事をするのか？

使っているようなことがある。確かに情報処理部門がシステムを管理運用しているだけでなく、エンドユーザーや経営者にも理解されるようになった。現在私たちが仮にあなたが属する組織の最高セキュが、そのシステムのデータは、まったく別考えなければならない課題は「どのようにリティー統括管理者に、あなた自身が就の部門の所管で管理されていることがあセキュリティー管理を実施するか」という任したとしよう。最近の流行語であればる。このように調べていくと、最近の企業点につきる。

CISO（Securityであれば、もはやほぼすべての部門が組

ChiefInformation

ところが、セキュリティー管理は具体的Officer）になったという言い方もできる。

織内部の情報処理基盤と通信基盤に依に何をするのかと考えると、組織それぞ

この場合、あなたはどんな人たちとどん存し、関係を持ち、さらには具体的なデれで答えが異なる。ある組織では情報漏なふうに仕事を進めていかなければならータに対する管理の責任を分散的に負洩を防ぐことがセキュリティー管理の重ないのだろうか。っている状況が明らかになるはずだ。

点目標になることもあるだろうし、他の組当然最初に話をしなければならないの

織ではネットワークで提供しているサービは、組織全体の通信基盤と情報処理基スを停止させないことが最優先される場盤を運営しているグループだろう。どのよ合もある。管理対象となるシステムやデうなシステムがどのように使われているのどんな組織であっても、権限と責任はータ、サービスなどの違いがあるからこか、通信基盤への依存度はどのくらいあ表裏一体のものとして考えられている。

182 +++ internet magazine 2003.05 +++いったい本当の責任者は誰だ？

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきかある領域について意思決定できる権限をすることだ。

たがって、経営に最適化されている組織持っている場合、行った意思決定についところが、セキュリティーにかかわる事構造に、CISOをトップとする危機管理体て責任を負っていると考えるのが普通だ

案について全権を掌握するようにCISO制をそのまま当てはめてもうまく機能しなろう。というポストを設定しても、実際にはそうい。

ところが情報処理システムや通信基盤はならない状況に陥ることがある。つまセキュリティー管理の作業は大きく2つ環境でのオペレーションを考えた場合にり、「CISOの言うことを聞かない」状況でのカテゴリーに分けられる。1つが「準備」

は、この権限と責任の関係が複雑になっある。これを解消するためには、組織のであり、もう1つが「緊急対応」である。てしまっているケースが多々ある。たとえセキュリティーポリシーを制定する中で、準備は、日常的な作業の中で行われる

ば、情報処理部門が全権を掌握してネッ責任体制を厳密に策定し、CISOが全権もので、たとえばデータのバックアップや、トワークを運用していたとしよう。このとを掌握できる構造を組織全体に認めさせシステムの検証や改善、新しいシステムき、ネットワークに対してサービスを提供ることが必要となる。の導入時の入念な検査、さらには、ユーするサーバーの管理そのものは情報処理

これに付随して、全権を掌握するためザーの教育やサポート業務などが含まれ部門が行っていたとしても、その中のデに必要となる機能的な組織も作らなけれる。これらの業務は、ほかの業務と並列ータの利用と管理には営業部門などが深ばならない。セキュリティーポリシーの策して存在でき、管理構造も既存の構造をくかかわり、情報処理部門に介入させて定により、形式上CISOが全権を掌握でそのまま流用しても問題は少ない。

いないような状況もあるのだ。このようきるようになっていても、実質的に全権もう1つの作業である緊急対応は、ネな状況だと、システムそのものの運用をを掌握できなければ、結局は画餅でしかットワークやシステムにセキュリティー上司る情報処理部門は、システム運用の停ない。のトラブルが発生した場合に、その影響止については常に営業部門との調整が必要となる。
こういった状況はセキュリティー管理の戦
略２を最小限度に抑え込むことを目的に、通CISOにとって機能的な組織を作り出す。

常の権限のさらに上位からシステムやネットワークを運用することにほかならない。
このような視点から考えると、CISOが面からは頭痛の種にしかならない。
セキュリティーホールがOSにあるから機能的組織はどうあるべきか？

行わなければならないのは、次の3点になる。

システムをいったん停止させてソフトウェアを更新したいと情報処理部門が言って多くの 組 織 で 間 違 いを 犯 す の が、も、セールス部門が「商売の都合上そのCISOの管理体系を既存の組織構造に完まま暫定的に運用してくれ」と言って継続全に対応させてしまうことである。よくあときの命令系統を作ること。

な運用を主張するかもしれない。その際、る形式は、取締役の誰かがCISOに就任

この命令系統は機能的でなければな外部から不正アクセスを引き起こされ、し、その下に各事業部長が副責任者としらず、即応性の期待できる形態でなけ

結局サービスが止まってしまったとしたらて名を連ねるような構造である。これでればならない。事業部長をトップとする誰の責任になるのか。このような問題を本当に効果的なセキュリティー管理が実ような体制を望むのではなく、「具体的発生させないために、CISOは組織体制現されるのだろうか。

なシステムやネットワークの運用に当を変更しなければならない。
戦略
１

責任の所在が明らかでない状況を生み出さないようにする。

1. 緊急対応を行うための設計と、その1つだけはっきりしているのは、企業にたっている部署」をそのまま指揮系統おける「経営判断能力」と、セキュリティに組み入れることを考える。このときー管理における「危機管理能力」は別のに、CISOの発する命令が最優先され種類の能力であることだ。経営判断能力るようになっていなければならない。

は勝負でいかに勝つかという判断力であり、その判断の中ではリスクを抱えること

2. 緊急対応を簡単にするための準備作を許容できる。一方、危機管理能力は、業を設計できるチームを持つこと。

この問題を解決する一番簡単な方法

多くの要素を相互的に判断してリスクを

通常は組織全体の情報通信システム

は、CISOが全権を掌握することである。

減らし、手堅い準備と迅速な対応をするを設計しているグループがこの任に当

つまり、セキュリティーにかかわる問題にための計画能力だと言ってもいい。つまたることが多い。このグループは、存ついて、その解決方法、意思決定、責任り、危機管理ではより多くのリスクを抱え在するリスクを直視し、そのリスクを低をすべてCISOが負うような体制を構築ることは極力排除することを優先する。し減するための作業を設計する。多くの全権を掌握することが大事

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2003.05 +++183

場合、この作業は技術的に検討して行た多くの組織では、問題解決に「緩やかュリティー管理をいくら強化しても新たなわれるが、場合によっては業務フローな連合軍構想」が実現されていることが収入が得られるわけではなく、経営側とを変更したり、既存の管理責任体制を多い。CISOによる全権掌握がなくても、してはコスト上昇に直結する事項だとい変更したりすることが必要になる。こ

実際の情報システムやネットワークにかう認識がある。しかし、真面目にセキュリの場合には、CISOが非技術的な課題かわる現場のスタッフは、セキュリティーティー管理を実施するためには新たな投を解決するためのチームを編成する。

管理を日常的な業務として対応しなけれ資が必要となるのも事実である。

ばならない状況に追い込まれている。こ

人材の問題も大きい。現在のセキュリ

3. CISOの下で作られた準備のプロセのため、いろいろな事業部の現場担当同

ティー管理は、アマチュアでは対応できスが確実に実施されるように、既存の士で、あくまでも個人的な関係に立脚すなくなり始めている。特に情報処理シス管理責任構造の中で了承が得られるる相互協力体制ができあがっていること

テムへの業務の依存度の上昇は、トラブこと。

が多い。そこで、この相互協力体制を支ルを短時間に、かつ、影響範囲をできる設計した準備作業が行われなければ、援しながら全体のセキュリティー管理レ限り小さく抑え込むことを要求するように緊急対応の作業時に大きな問題が起ベルを向上させていくこと、つまり「緩やなった。情報処理システムに大きな障害きてしまう。このようなリスクの発生をかな連合軍構想」を実現していくことが、が発生すると、実際に経済的損失を組織避けるために、作業には正しく準備が1つの方法となっていた。に与えるからだ。このため、正しく設計さ行われているかを確認するための監査も含まれる。

このような体制がある組織は沢山あるれたトラブル即応体制と適切な技術の投が、うまく機能しているところは相互に経入が必要となる。これは、セキュリティー験をシェアする仕掛けができあがってい管理がプロの仕事になり始めていることこの3つのCISOが行うべき作業のうる。たとえば、非公式ながらセキュリティを意味する。ただし、セキュリティー管理

ち、2番目の作業が既存の管理構造からー担当者同士の連絡会が定期的に開催のための人材は、利益を生み出すことはは一番恐怖感を持たれる内容である。とされていたり、あるいは管理者同士のメない。確率的に予測される損失やリスクいうのも、非常時だけとはいえ、既存のーリングリストやWWWサイトが用意されを減らすことにしか貢献できないのだ。

命令系統とは違う系統が生まれてしまうて情報が積極的に共有されていたりす

資金と人材の問題については、「一度からだ。CISOは、緊急時用の別命令系る。セキュリティー管理者同士の情報流痛い目に合えば、セキュリティー管理に対統が存在したとしても、業務に大きな影通を促進する基盤を作り出すことも「緩する投資の大切さを心から理解するよ」と響を与えないことを確信させる必要があやかな連合軍構想」には不可欠だろう。

言う専門家もいる。しかし、「痛い目」が組る。このためには、「準備」のプロセスをセキュリティー関連の情報流通基盤の成織にとって教訓となり、大きな損失を与え既存の管理構造に属する人と一緒に綿立は、通常の組織でも重要である。

ないものである保証はどこにもない。この密に設計することが肝要である。
「準備」
が入念に行われて、緊急時にもリスクが低減されていることが確信できれば、既戦
略４意味で「痛い目」を期待してはならない。
セキュリティー関連の情報流通基盤は、組織体制にかかわらずにうまく作る。

資が大切なことを経営側に理解させるこ存の管理構造からの恐怖感は小さくなるに違いない。

資金と人の問題を解決するためには、セキュリティー管理に対する継続的な投資金と人材を確保するためにとが必須である。このためには、CISOはさまざまな手段をとる必要がある。たと戦
略
３

CISOが動かす命令系統と、既存の管理構造との折り合いをつける。

全権を掌握できない場合には最近多くの組織で問題となるのは、セえば、他の組織で発生したセキュリティキュリティー対策の資金をどのように準備ートラブルをケーススタディーとして学び、するのか、そして、セキュリティー管理にその轍を二度と踏まないようにすること実際に携わる人をどのように確保するのも効果的だろう。

かということだろう。これは真にCISOが不幸にして全権を掌握できない場合で統括すべき事項である。

なによりセキュリティー管理で実施すべきことを一覧にし、各項目に必要な費も、何らかの方法で組織全体のセキュリ

まず資金に関しては、経営側はセキュ用と、同時に実施の優先度を示すことがティー管理を把握し、その改良に取り組リティー管理の重要性は理解していても、必要不可欠である。CISOにとって、「私まなければならない。これまで私が見て昨今の不況の影響であまり多くの資金をのセキュリティー対策一覧表」を作成してきたCISOによる全権を掌握できなかっ使うことには否定的なことが多い。セキ

常に更新することが重要になる。最終的

184 +++ internet magazine 2003.05 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&Dセキュリティー管理責任者はいま何を考えるべきかには、一覧表を経営側に対して提示し、セキュリティー管理のために多少の利その妥当性を検討してもらうことも必要

便性を犠牲にすることは許容できるが、だろう。

実際は業務にオーバーヘッドを加えていいまや「セキュリティー対策は重要だ」ることにほかならない。つまり、業務のパという掛け声だけでは組織は動かない。

フォーマンスを下げているのだ。セキュ

合理性を持ったアプローチが必要となる。

リティー管理のために業務を遅滞させる

戦
略
５

ことがまかり通るのであれば、セキュリテ
セキュリティー対策の検討では、コストと優先度を常に考える。

ィー管理を実施するグループはCISOも選択する技術についても考慮するども、実際の現場の業務フローに対して含めて組織の鼻つまみ者である。その意
味で、セキュリティー管理が重要とはいえ大きく影響を与えたり、あるいは、業務推使用する技術について、どのような選進を遅滞させたりするようなことを平気で択をするかもCISOは考えておかなけれ行うCISOになってはならない。セキュリ

ばならない。

ティー管理をするうえで、現場との折り合

セキュリティー管理を考えると、さまざいをつけることも必要なのだ。

まな技術が必要となる。資金をかければかけるほど、いろいろなことができるようにもなる。たとえば、資金をかければ、組織構成員全員のシステムを改造し、誰が戦略７

セキュリティー管理は、金を生み出す業務に対するリスクを低下させるもの
なので、業務に不要なオーバーヘッドを与えるような情況は避ける。

何をしているかをすべてモニターして記録するような環境だって構築できるのである。このような中で、CISOは技術投資にさて、今回は組織内にセキュリティー対する妥当性を常に考えなければならな管理体制を作り上げるときに、その司令い。本当に守るべきことについて、明確官でもあるCISOがどのような考え方をな見識を持つことが必要なのだ。何を守持つべきかについて、私なりの考え方をるのか、誰から守るのかという視点が明述べた。特に、いくつかの肝心な項目に確でないと、結局対策として妥当かどうついては文中に「戦略」で示した。読者かを判断できないので、思いつくものはの多くは「いろいろ言っているけれども明何でもやってしまうことになり、結果とし確にどうしたらいいのかは何も言っていて過剰な投資になってしまう。

ないじゃないか」と批判されるかもしれな

戦
略６い。これは、各組織で行うセキュリティー
守るべきものは何かについて、常に明確な考え方を持つ。

管理の具体的な設計は、各組織で異なることにも起因する。
また、CISOは大変な作業をしなければならないポストだと思われたかもしれな原理主義者にはならない

い。CISOが行わなければならないことはCISO がしばしば陥ってしまう誤りは、本当に沢山ある。しかしその多くは準備

セキュリティー管理のためには、ほかのこのプロセスに使われることであり、準備とを犠牲にしてもいいという勘違いだろを定常的に実施する体制ができていれう。セキュリティー管理は何のために行ば、実はそんなに多くの仕事が目の前にうのかと言えば、本来組織が行う業務にいきなり積まれるわけではない。日頃の対するリスクを減らすことであり、セキュ努力が大変さを減らすポイントだと考えリティー管理を目的化してはいけない。

るといいだろう。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2003.05 +++185

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.