この被害は環境の変化に伴って変わるため、1度設定すればいいというわけではありません。繰り返し見直していくことで、セキュリティ対策の効果（パフォーマンス）を評価できるようになります。
さて、ここで重要なのは「情報セキュリティをどこまでやるか」です。
CISOの仕事で最も重要なのは、どこまでやるかを決定することです。もしかすると、実際の決定は社長が担うかもしれません。その場合には決定するために必要な情報を用意して提案するのがCISOの最も重要な仕事でしょう。
どこまでやるかの指標を「リスク受容レベル」と言います。どの程度のリスクを受け入れられるかを設定した値になります。基本的には「損失」を設定します。事故の回数を設定する場合もありますが、金額を元に考えらえれば、費用対効果という意味ではより現実的な数字を得られるのではないでしょうか。
（図2）費用対効果の測定にはIT利用の可能性も検討する必要がある （Microsoftセキュリティガイドブックから引用）
現在のCISOに必要な知識とスキル
CISOがどのような情報を持っておけばよいのか。それはレポートラインによるかもしれません。CISOはCIOやCTOなどの技術関連の責任部門にいることが多いのですが、米国ではCFOやCRO（Chief Risk Officer）の下に置かれることも多くなっているようです。もちろん、CEOに直接レポートしている例もあるようですが、財務的な側面についても求められるのが現状です。
このような中で、やはりCISOたちは、ITセキュリティの知識だけではなく、財務的な知識も有していなければ、役割をこなすことができないようです。これは理系、文系という考え方ではなく、ビジネスにどのような影響が与えられるのかを理解している必要があります。
国内では話題になっても、なかなか専門的な見解が出てこない事業影響度分析（Business Impact Analysis：BIA）についても、本気で取り組んでいかなくてはいけないのかもしれません。その根底には、やはり日本では話題になっても失敗しているサービス指向設計（Service Oriented Architecture：SOA）の見直しも必須です。
システムダウンした時にシステム規模が大きければ、原因調査にも、復旧にも、そのためのテストにも時間がかかってしまいます。結果として可用性の低いサービスとなってしまい、事業影響度が高くなってしまうのです。
クラウドサービスでは、マイクロサービスという考え方でSOAをベースに従来のITサービスをさらに細分化したシステム構築を目指しています。クラウドが危険だとか管理しにくいという前に、ビジネスのことを考えることができないのは、やはり企業のセキュリティ責任者の知識不足であると言わざるを得ません。
CISOに必要なビジネス感覚ということでは、新しいテクノロジやITサービスが何を実現しようとしているかを理解できるということも必要でしょう。
最近は、CSIRT設立ブームですが、うまくいっていないとか、どのように運用すればよいのかわからないという話を聞くことが多くなりました。まずは経営とITの現場の仲裁能力の高いCISOを置くということから始めてみてはいかがでしょうか。
これが本当のサイバーセキュリティ経営を実現するための第一歩だと思います。
- 河野省二
- 株式会社ディアイティ セキュリティサービス事業部 副事業部長 経済産業省 SaaS 利用者の観点からのセキュリティ要件検討会委員、情報セキュリティガバナンス委員会 ベンチマークWG委員など、 情報セキュリティ関連のさまざまな基準を策定した経験を持つ。
