セキュリティー管理責任者はいま何を考えるべきか

企業のリスクをマネージする戦略考
セキュリティー管理の非技術的な面の設計では、責任と権限、強制と協力をうまく使い分ける必要がある。ところが、一口に使い分けといっても同じ人間が多面的にこれらの役割を果たすのは難しい。そ

第二回

責任と権限、強制と協力

こで、今回は表裏一体となるこれらの組み合わせを現実としてどのように考えるのかについてまとめてみた。
text :

山口英 奈良先端科学技術大学院大学情報科学研究科教授

ここ数年、効率的な組織運営にはトッ排除を狙っているのである。執行役員フォーカスするのに対して、CIOは情報プによる統治強化が重要であると強く制の導入は、各役員の権限を飛躍的に全般にかかわる業務を統括する立場に言われている。これを受けて数年前か拡大させるが、当然、同時に責任も大きある。このことから､CIOのほうがCISOら、執行役員制度を導入する企業が増くなる。したがって責任範囲がはっきりよりも責任範囲が広く、CISOの業務をえている。執行役員制度のミソは、役員する執行役員制度の方が経営姿勢や執包含する。実際、CIOがCISOの業務をとして意思決定にかかわる人を必要最行が明確になるという声も多い。

果たしている企業はたくさん存在する。

小限まで減らし、即決即断の実行体制を前回説明したように組織のセキュリテ作り出すことにある。これにより、トップCIOはCISOを包含する

ィー管理では全権掌握型のCISOを擁したほうが多くの面でメリットがある。しかによる直接的な指揮体制の創出を狙っ
最近の企業統治スタイルの中では､し、全権掌握型CISOは、その責任範囲最近、私はいろいろな企業の役員のCIO（Chief Information Officer）の役割にも拡大する。しかし責任範囲の拡大は、方々に会う機会が増えているが､いただ注目が集まっている。現在の企業活動

1人の人間による誤った判断を引き起こ

く名刺の肩書きに単に「取締役」とだけは､情報の取り扱いを真剣に考えなけれす可能性を増やすことに直結する。もと書かれている企業は急減しているようにば成り立たない。企業内部における情もと人間はいくつものことに同時に対応思う。逆に、CEO、CTOといった米国

報流通基盤の形成、情報利用環境の構できるほど器用にはできていない。セキ的な執行役員の略称を書いている場合

築、情報保護、さらには、外部に対してュリティー管理の目的は、組織におけるや「○○担当役員」のような責任領域を情報をどのように提示していくのかとい情報処理システムに起因するリスクを減明示しているケースが増えている。このった、戦略立案と実行が必要である。こらすことが目的である。CISOが全権を傾向は大企業であろうが中小企業であの情報にかかわる種々の活動を統括す掌握する構造で、CISOの存在そのものろうがあまり関係ないようだ。

る役員がCIOである。ている。

がリスクになってしまっては元の木阿弥である。

考えてみれば、従来の取締役会によ一方、組織におけるセキュリティー管る集団統治体制は、意思決定の遅さと理では CISO（Chief Information SecuCISOが全権を掌握しつつ、その中で組織運営における曖昧さが常に付きまrity Officer）が統括責任を負うというの誤った判断や行動を引き起さないようとっていた。また、しばしば無責任体制が普通だ。しかしCISOが行うべき業務にするためには、さまざまな知恵が必要を生み出していた。執行役員制度は、は､実はCIOの業務に含まれる。CISOとなる。今回は、この「知恵」に焦点を役員会による集団統治の弱点や短所のの業務は情報セキュリティー管理に強く当てて考えてみたい。

176 +++ internet magazine 2003.06 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきか

強制に必要な「教育」と「儀式」

ければ、守ろうとする意思が弱くなって合理性のみが助けであるしまう。
CISOが統括しなければならない業務

たとえば、田舎の田畑の中をまっすぐ私たちは、道理がわかっていないことの1つが、セキュリティーポリシーの策定に貫く農道の最高速度が時速40キロにはなかなか実行できない。理由に合理と、セキュリティーポリシーに合致する制限されていたら、あなたは制限速度を性がないことは納得がいかないものだ。

さまざまな手続き、約束事、ルールの施守るだろうか。正直に申し上げて、私はこのようなルールを設けたとしても、実行である。

守ることはないだろう。しかし、最高速行されるとは到底思えない。また、正論

セキュリティーポリシーとは、組織と度がなぜ時速40キロに制限されているそのままのものもあるが、現実的に実行して情報をどのように守るのか、そしてかの理由が提示され､さらに提示されたできないものもある。運用面での合理守るためには何をするのかというセキュ

理由に合理性が十分あると感じられれ性がなければ、やはり実行されないルー

リティー管理についての基本的な考えばどうだろうか。おそらく多くの人が、そルとなってしまう。

方を与えるものである。のルールを守ろうと考えるに違いない。

これを踏まえると、CISOとしては、セこのセキュリティーポリシーについて

このように、教育によって人々は考え方

キュリティーポリシーや各種手続き、ルは、組織構成員全員が同意しているものを変え、ルールを遵守することを考えるールを作り出すときに、必ず合理性を持でなければならない。しかし、組織構成員ようになることが多い。もちろん、教育ったものを作る努力が必要である。合

全員が何もしないで合意するものを作りしたからといって信念を曲げない人も当理性が確保できないと、教育でも説得力出すのは難しい。もしも構成員が10人以然いるから、誰をも納得させて同意させのある説明ができなくなってしまうし、そ上の組織でセキュリティーポリシーを作っる確実な方法ではないが、少なくとも多のうえ儀式の効能も薄くなってしまう。

た場合に、最初に作成したセキュリティ

くの人の疑問を解消するには教育は役決められたルールが的確に適用され、ルーポリシーに誰も反対意見を表明しない立つ面が多い。

ールに従って行動や運用がなされることとしたら、逆に異常な状態だろう。作成

一方、儀式とは形式的なやり方で同したセキュリティーポリシーが誰も反対す意を記録することである。たとえば､同る気にならないほど抽象的過ぎるか、あ意書にサインさせるのは儀式の典型で合理性の追求は、実は落とし穴が待るいは、まったく実効性の無いものかもある。儀式の本質は、自分が同意したとっていることもある。たとえば、技術者しれない。構成員が多くなればなるほど、いうことを明示的に示す行為によって、にとって当たり前のことが、技術者では全員が簡単に同意することは難しくなる。

「ああ、自分はこれに同意したのだ」と意ない人にとってはまったく難解至極なこ

このために、セキュリティーポリシーの作識に刷り込むことである。何を同意したともある。あるいは、業務のフローを大成プロセスでは版を重ね、できる限り多のかをしっかりと意識させることによっきく変えてしまって、現場における合理くの人たちにとって同意できる合理性のて、ポリシーを忘れさせない効果がある。

性を破壊してしまうこともある。このよ高いものに結晶化させていく作業が必須

儀式を行うことによって、ルールの遵守うなことから、ルールが適用される環境、となる。しかし、最後まで納得しない人に努めるようになるという効能を期待で対象となる人たち、そこに存在するシスが存在してしまうのは当然想定される。

きるのだ。

テムをよく見て考えることが必要不可欠こそが、CISOとして実現しなければならない目標である。

もしも作成したセキュリティーポリシーに教育も儀式も、即効性、確実性は期である。その意味でCISOは、さまざま同意してもらえないとしたら､組織として同待できない。しかし同意を強制したときなソリューションを提供できる柔軟な思意を強制しなければならない。に、強制される側が納得すること、さら考が必要となる。また、現状を把握するに、その同意について翻意しないようなための目と耳を持つことも当然だろう。

この同意を強制する場合に重要となる作業が「教育」と「儀式」である。

プレッシャーを与える、心理的なストッパーと言ってもいい。ルールは破るためにあるのだという気持ちを、ルールは守ルールは破るためにある？

るためにあるのだという気持ちに変えさ
まず、教育は同意を強制される人にとって疑念を減らす作業である。何らかのルールを強制されているときに、そのルールは何のためにあるのかがわからな

戦
略２

合理性あるルール、手続きを構築すること。そのとき、適用される環境、対象となる人、システムをよく勘案すること。

せる力を持っているのだ。
戦略
１

同意を強制する場合には､教育と儀式をかならずセットで与えること。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

CISOの責任を考える
CISOが日常的に行う必要がある業務+++ internet magazine 2003.06 +++177

の大部分は、いざというときのための準こで、権限をたくさん握っている人は周到制するものはなくなる。物事に対する根備であることだ。つまり、情報システムな計画を立て、確実に準備を進め、現場源的理解があれば、その行動は正しいとにまつわるリスクを一生懸命考え、想定との軋轢が生じないような対策を立てる思うのだ。

されるリスクにプライオリティーを付けことが求められる。これも CISO の責任て、どのリスクを優先して排除するかをでもある。

考え、実際に排除するための準備を着実にこなしていくことになる。
「備えよ、常に」である。とは言え実際にCISOが具体的な準備

戦略３

作業をするのかと言えば、実際には対象周到に作り出された計画を立案するのは、CISOの責任である。与えられた権限を振り回して強権的な作業しかできないとしたら、そのCISOはあまりに能無しである。

いは、自分自身の合理的な理解と実際に指示されている行動に差異がある状態は、行動を強制されたと感じてしまう。
つまり、CISOが考える合理性を多くの人たちが理解するようになれば、強制されたという感覚をユーザーやほかの管理者たちが持つことは減るに違いない。ことなるそれぞれの部署でそこで働く人たちを使って準備をすることになる。つま一方、合理的な理解がない状態、ある権限の多さは自由度の高さ

こに啓発活動を展開する意味がある。つまり、ユーザーやほかの管理者たちが、り、CISOは設計者であり、その設計を実際に行う人たちは、また別の人たちとな与えられた権限が多いということは、ソる。ここに落とし穴が待ち受けている。

リューションを考えるときに高い自由度を「頭」と「手」が分離しているときには、同じマインドを持つことで、CISOの強い味方になるのだ。

確保できているという意味がある。つまところが、1 つ厄介な問題がある。根

どうしても「手」が「頭」の思ったほどに動り、教条主義的に当たり前と思うことを源的理解を与えるためには、各々の理解いてくれない。セキュリティー管理で行わストレートに実施しなくても、結果として度に合わせた説明によって納得してもられる種々の準備は「いざというとき」にそ同程度の準備あるいはセキュリティー対う必要がある。つまり、CISOはさまざまの力を発揮するが、その「いざというとき」策が立てられればいいということになる。

なレベルの人と十分なコミュニケーショに対して実際に作業する人が実感を持ったとえば、ある部門に十分なセキュリンを行い、さらに、そこで確実に理解させていなければ、なかなか思ったとおりにティー対策を施す必要があるとしよう。そ作業をしてくれないかもしれない。CISOの部門には、システムとネットワークを使にとっては合理性があったとしても、作業いこなす技術者が十分にいない状況だをする人にとっては合理性を感じられなったとする。この場合、その部門のシスい、あるいは、感じさせていない状況でテム環境はそのままにしておいて、その環は、不十分な作業しか実行されていない境を保護するような組織内ファイアーウということがよく発生する。

ォールを作ってしまうことで、内部の環境内部の同士だと思っていた人たちが、をいじることなく、その部門の保護の度合実はリスクを増大させる原因になることいを高められるかもしれない。そのためは、よくあることだ。実際、セキュリティに、エンタープライズネットワークの管理ー管理作業をすればするほど、また、そ運営部隊を動かすことも CISO にとってれを厳密にすればするほど、CISOにとは可能なことである。っては組織内部に対する不満が溜まることはよくある。
なぜ、みんなはこちらの考えたとおりに

戦
略４

CISO に与えられた強い権限によって、ソリューションを考える時の拘束条件を緩和していると考えよ。

対策を実施してくれないのか――このような状況に遭遇した場合に、CISOが強戦
略５

啓発活動は、異なる立場にいる人たちにCISOと同じ意識を持たせるための有効な道具である。しかし、有効な道具として機能させるためには、高品質なコミュニケーション能力を持たなければならない。

協力を引き出すCISOが司令官になり、立案した作戦に基づいてさまざまな作業をするエンジニアたちが存在するというのが、基本的なセキュリティー管理体制となるのは、前回も述べたとおりである。しかしながら、その体制は、いわゆる軍隊的な上意下達同じ意識を持たせることが重要権的な手法で問題を解決しようとすると「手」との間での軋轢が確実に生じてしまる腕が必要となる。

型の動きを常にするわけではない。当然、セキュリティー的な障害が発生したときにところで、私たちが何らかの行動をとは緊急対応の作業の中で軍隊的な動きう。たとえば、抜き打ちで監査作業をしるときの原動力は何であろうか――それをすることもあろう。しかし多くの場面でて、不手際の早急な是正を迫るようなこは、理解である。なぜそのような行動をは、CISOが計画立案者で、提示されたとをついやってしまうが、結局、不満や不とらなければならないのかについて合理種々の対策についてその本質を理解した平だけを増大させてしまうことが多い。そ的な理解を持っていれば、その行動を規エンジニアたちが協力し合いながら動く

178 +++ internet magazine 2003.06 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきかということのほうが、機能的である。

考える必要があるはずだ。

一方、立案したセキュリティー対策のさまざまな方策が設計どおりに実装されているか、機能しているかを調べるために、監査の実施も必要となる。不手際や不具合があれば、それが問題になる前に戦
略６

セキュリティー対策を一緒に実装していくエンジニアやセキュリティー対策にかかわる多くの人たちからのインプットを得られるシステムを作り上げることが重要だ。

直すことも必要となる。その意味では、
CISOは監督者で実際の作業をするエン

さて、今回はCISOの業務に注目して、ジニアたちが評価対象者となる場面も発そこに存在する責任と権限、さらには、強生する。

制と協力という視点で、CISO が考えるCISO が行わなければならないこのよべきポイントについて議論をしてきた。

うな業務の二面性、つまりエンジアたち

この議論を見ると、セキュリティー対策をチームとして構成して機能的に協力し実施のためにCISOが持つべき資質とい合う部隊として成立させることと、同時うよりも、リーダーとしての素養は何であにそのチームが行ったことを包み隠さずるのかという人材論のような話になって評価して不具合があれば直すということしまったことは否めない。しかしCISOがが、CISOの姿勢や立ち位置に微妙に影やらなければならない業務は多岐にわた響してくるのは事実である。

るのは前回も述べたとおりだ。技術的なしかしCISOとして忘れてはならないの面だけではなく、非技術的な面でもそのは、セキュリティー対策には定石はある能力を発揮しなければならない。また、が、それだけでは不十分で、対象となる組織の中で、セキュリティー対策を実装環境に対して思いをめぐらし、柔軟な対することが確実に行われるような体制作策を立案していくことがCISOとして本来りも必要となる。その意味で、CISOに求やらねばならないことである。そのためにめられる人間としての「力」は、普通のリは、自分の考えたプランについて、常にーダーよりも高い質が求められる。つま別の面から再評価する作業を自分に課すり、CISO は弛まない努力と精進、自分ることが必要となる。しかし、1人の人間の能力開発における研鑚が必要となる。

が思いを巡らせられる領域は実際には限

なお、今回の議論の中で、教育と啓発られているのが現実だ。セキュリティー

活動を区別して使っていることには注意

対策の実施に携わる多くのエンジニアのしていただきたい。教育は、具体的に何意見を聞き、評価を受け、その中でセキをしなければならないか、何をしてはいけュリティー対策の質を上げていくことがでないかというテクニックを与えることを主きれば、1人で作業するよりも、もっとい眼とした技術移転作業という捉え方をしいものが生まれてくるに違いない。ている。一方、啓発活動は、物事の捉えその意味で、CISOは、一緒に作業す方、問題解決の道筋や考え方、さらにはるエンジニアのグループをチームとして構組織にとって何が重要なのかというプラ成し、そこから意見がたくさん出てくるよ

イオリティーの考え方を与えるための活うな環境をうまく作り出すことが必要にな動という認識でいる。教育は技術移転とる。また、技術面だけではない検討要素いう面が強いのに対して、啓発活動はセを持つためにも、いろいろな情報を得らキュリティー文化を生み出していく素地をれるようにしておかなければならないだろ形成する。教育と啓発活動は、即効性はう。つまり、セキュリティー対策にかかわ期待できないが、多くの可能性を持ってる人たちからのインプットが正しく伝わるいる。どちらも、長期的なセキュリティーようなシステムを作り上げることを真剣に対策と分類されているのも事実である。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2003.06 +++179［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.