ＩＴリスクマネージメントを支えるノウハウ-５ステップ

株式会社シマンテック
ストラテジー＆ソリューションマーケティング
部長 冨樫 明内容
• 増え続けるITリスクとコスト• ＩＴリスク管理のための ５ステップ• シマンテックのソリューション

<#>ITリスクとして増大しているとお考えのものは何ですか。あてはまるものを全てお選びください。
N=529 ※複数回答

0% 10% 20% 30% 40% 50% 60% 70%
39.51%

可用性(システム ダウン ）リスク

66.16%

セキ ュリティリスク
44.23%

デ ー タ保護リスク
リカバリー リスク （迅速な復旧が出来ず にビ ジネス継続できない）
性能リスク （サー ビ ス性能の劣化、ピ ー ク対応能力など ）拡張性リスク （拡張が限界になる 、または柔軟に拡張できない）

46.31%
21.74%
21.55%
20.42%

コン プ ライアン スリスク
ITリスク増大はない
その他

8.32%
0.76%

９０％以上が「ITリスクは増大している」と回答<#>

あなたがお勤めの企業では、ITリスクのビジネスインパクトの分析または評価は実施されていますか。
N=529

0%
現在、計画中である一度行った数回行っている
定期的に行っている

10%

20%

40%

50%

60%

9.64%
3.97%
9.26%
4.54%
54.63%

特に予定はない
わからない

30%

17.96%

ITリスクのビジネスインパクトを評価している企業は２０％以下<#>

問題は２つのゴールのバランス: コストとリスク

コスト

リスク
セキュリティの脅威
継続性
コンプライアンス

セキュリティ
アベイラビリティ
パフォーマンス

複雑さ

Web サーバ

アプリケーション

データベース

サーバ

ストレージ

<#>

あなたがお勤めの企業では、戦略的なIT投資がIT予算に占める割合はどの位ですか。現状のシステムの管理メンテナンス・保守など予算以外の金額比率の概算をお答えください。
N=529

0%
IT予算の1%未満
IT予算の1%以上−5%未満
IT予算の5%以上−10%未満IT予算の10%以上−20%未満IT予算の20%以上−30%未満IT予算の30%以上−50%未満IT予算の50%以上割合はわからない

10%

20%

30%

40%

10.78%
15.31%
18.71%
8.32%
4.16%
2.84%
1.89%
38.00%

戦略的IT投資がIT予算全体の１割未満という回答が４５％<#>

企業経営から見たIT
費用効果、信頼性、安全性の高いITシステムイン
フラ• 会社は情報システムから十分な ROI を獲得しているか?
• 災害復旧およびセキュリティにおいて、ビジネスの継続性計画に影響を与えるような変更がなにかあったか?
• ハードウェア、ソフトウェア、およびレガシー アプリケーションの陳腐化を防ぐ管理がなされているか?

IT 支出や IT 戦略に関して、取締役会はより有効なデータを求めている• サービス拒否攻撃やハッカーに対する適切な防御が施されているか?
• 攻撃があった場合の迅速な対応プロセスが定められているか?
•年中無休の稼働レベルを維持するための管理手法が配備されているか?
• IT に関する潜在的なリスクが潜んでいないか?

競争力を高め、ビジネスの拡大に貢献する戦略的なITシス
テム

出展: Harvard Business Review、「Information Technology and the Board of Directors」、2005 年 10 月<#>

IT リスク管理
資産の機密性、完全性、および可用性に対するリスクを明らかにし、運用プロセスおよびシステムを設計、開発、維持、および改善するプロセス•

システム運用にリスク分析の考え方を導入する。

•

システムおよび運用のリーダーに、意思決定支援プロセスを提供する。

•優先順位を明確にしたリスク対策を行う。

•高い対策効果を得られるようなコスト管理を行う。

* リスクとは、現実に発生し、許容できないインパクトを生じることが合理的に予期されるリスクを指します。
<#>

主要企業が採用している、IT リスク管理の 5 ステップ:
ビジネス リスク管理フレームワーク

5. 質の高い情報管理能力・手法を構築する

4. IT リスク管理のコストをビジネス バリューに一致させる

3. IT リスクの管理に利用できる様々なツールを理解する

2. 情報の損失やサービス停止によってビジネスに生じるインパクトを定量化する

1. ビジネスに対する IT リスクを認識する<#>ビジネスに対する IT リスクを認識するビジネスリスク

その他のリスク••••ステップ 1

市場リスク
信用リスク
金利リスク
通貨リスク

運用
リスク

IT 以外のリスク••••ビジネス プロセス
人材環境
物理的インフラセキュリティ
リスク

アベイラビリティ
リスク

パフォーマンス
リスク

スケーラビリティ
リスク• コンピュータ犯罪• 内部の違反• サイバー テロ•• 構成変更• アーキテクチャの冗 •
長性の欠如•• 人為的ミス

分散型構造
ピーク需要
ヘテロジニアス環境の複雑性• ビジネスの拡大• プロビジョニングのボトルネック• サイロ化したアー
キテクチャ

IT リスク

リカバリ
リスク

コンプライアンスリスク• ハードウェア／ソ • 政府規制• ガバナンスの指針
フトウェア障害• セキュリティなど、 • 社内規定
外部からの脅威• 自然災害<#>ビジネス インパクトを定量化する:
まず、ビジネス インパクトの分析からビジネス インパクトの分析

ステップ 2

クリティカルなビジネスファンクション

ファイナンシャル
コスト

顧客離れ

損害賠償

業務の硬直化

ビジネス
インプット
部門リーダー<#>IT リスク管理に利用できる様々なツールを理解する
IT リスク管理のためのテクノロジー
ステップ 3• セキュリティ技術（IDS/IPS, VA, …）• 利用可能なテクノロジー（データ保護／バッ
クアップ、クラスタリング …）• ポリシー管理、ワークフロー主導のソリュー
ション

情報ソース
• 脆弱性／脅威／防御に関するセキュリティのインテリジェンス

IT リスクの管理

IT のベスト プラクティスのプロセス• ITIL• ISO• シックス シグマ

組織と教育• アウェアネスを高める、アイデン
ティティ／役割別権限• 新しい役割／専門性<#>

IT リスク管理のコストとビジネス バリューの一致“Bronze”
サービス レベル（例、イントラネット）

コスト“Gold”
サービス レベル“Platinum”
サービス レベル（例、パートナーのエクストラネット）（例、ERP）

ステップ 4

コスト

リスク

リスク<#>

リスク管理体制の確立•

全体的な戦略とリスクに対する取り組み•ガバナンス•

役割の見直し•レポーティング•

スキルの向上•企業文化の改革•プランとテスト

Step 5<#>

リスク管理において直面する 4 つの課題
信頼できる情報の欠如と優先順位の不一致• どこでどのリスクが内部および外部的に拡大するかという洞察がない• さまざまな IT 資産、リスク タイプ、誤って定義されたリスク プロファイル• リスク対コストの適切なバランスが見えない

信頼性に欠けるプロセス• リスク管理が IT プロセス モデル（ITIL や ISO17799 など）の一環として確立されていない• 問題の根本原因を解決するためのプロセスが存在しない

人材の不足（スキルのギャップ）

柔軟性に欠けるテクノロジー基盤• ゼネラリストに対して専門家（アナリストや• サイロ化したソリューション
• 拡張性が不足• 運用コストが高く、サポートや管理が難しい設計者）が少ない• プロアクティブに脅威を管理するスキルがない• エンタープライズ全体の統括モデルがない<#>シマンテック グローバル サービス
• シマンテックソリューションは、お客様のビジネス上の問題を解決、コストやリスクを削減し、迅速に永続的かつ持続的価値を確実に手に入れるために支援します。
– 豊かなテクノロジー知識と経験、実績– 現実のインプリメンテーションの実績– クロス プラットフォーム対応– IT リスクに関する専門性の高いコンサルテーション

グローバルなサービス
南北アメリカ、アジア太平洋および日本、ヨーロッパ、中東、アフリカ
700 人コンサルタント
200 人の教育担当
1,900 人の企業サポート担当
1,900 人のコンシューマ サポート担当<#>

評価フェーズ

改善フェーズ

セキュリティポリシーレビュー

管理米国ＳＯＸ法対応で実績のあるテンプレートをベースに、既存のセキュリティポリシーを評価します。

実績のあるツールとベストプラク
ティスを使い、アプリケーションのセキュリティホールを評価します。

基盤• バックアップ統合支援• ストレージ統合支援

アプリケーション性能レビュー
ビジネスに影響を与えるアプリ
ケーションの性能状況を評価します。
データ保管状況レビュー
ツールを利用し、電子データの保管状況とストレージ利用状況を評価します。
システム運用状況レビュー
テンプレートを使い、現状のシステム運用の状況を評価します。

• セキュリティリスク対策
アプリケーション、ゲートウェイ、ネットワーク、メール、クライアントのセキュリティを強化します。

リスク対策

リスク アセスメント サービスIT

アプリケーション脆弱性レビュー• セキュリティベースライン策定支援• サービスレベルアグリーメント策定支援• システム監視／レポーティング標準化支援• セキュリティインシデント一元監視構築支援• セキュリティポリシー監査自動化支援• 運用マネージメントプロセス構築支援• ストレージリソース管理構築支援• 従業員向けセキュリティ教育支援• 可用性リスク対策
高可用性システムインフラの構築と、変更作業の自動化によるシステム停止時間削減をご支援します。

• 性能リスク対策
アプリケーション性能管理ツールとストレージ管理ツールで性能の確保をご支援します。

• リカバリリスク対策
災害時のシステム復旧だけでなく、ホットスタンバイ、ウォームスタンバイ、コールドスタンバイの様々なリカバリ要件の実現をご支援します。
• コンプライアンスリスク対策
アーカイブ技術によりメール／非構造化データの保管／開示要件達成をご支援します。
<#>

<#>

ご清聴ありがとうございました