PR

 「コストの問題にならない限り,経営者はセキュリティを意識しない」――。セキュリティの専門家であるBruce Schneier氏は5月16日,IT Proの取材に対して強調した(写真)。

 同氏は以前から,セキュリティは技術の問題ではなく,ビジネス(コスト)の問題であることを,著作や講演などで強調している(関連記事)。同氏がそのように強調し始めたのは,1999年ごろ。当時はもちろん,「現在でも,多くの人はセキュリティを技術の問題だととらえている」(Schneier氏)という。「ビジネスの問題としてとらえないと,全体のセキュリティ・レベルは向上しない」(同氏)。以下,Schneier氏の発言内容の一部をまとめた。

 現場のITマネージャなどはセキュリティの重要性を分かっている。だが,経営者にセキュリティ対策の必要性を認識させることは難しい。経営者が意識するのはコストだけ。いくら脅威を唱えても,コストの問題にならない限り,経営者がセキュリティに投資することはない。

 そこで期待されるものの一つが「法規制」である。法律が要求する監査に通るためには,経営者はセキュリティ対策にお金をかける。監査に通らなければ,法律違反になってビジネスを継続できないからだ。また,監査を受けるのにもコストがかかるので,監査に落ちると,必要以上のコストがかかることになる。そこで経営者としては,できるだけ早く監査に通るように,セキュリティにお金をかける。

 実際,米国ではSOX法(用語解説)が要求する監査に合格するために,企業が情報セキュリティに投資するようになっている。セキュリティ・マネージメント・サービスを提供している自社(米Counterpane Internet Security)の顧客数は,SOX法施行後増えている。

 「企業責任」を強調として,経営者にセキュリティの重要性を訴える方法もある。だが,「責任」は形のないもの,不明確なものなので動機付けとしては弱い。「責任を果たさないと,顧客などに被害を与えた場合,対策に必要なコスト以上のコストがかかる」ということを強調する必要がある。

 ただしこの場合でも,セキュリティ対策にかかるコストや,対策の不備によって発生するコストが定量的に分かりにくい。具体的なコストが分からないと経営者はお金を出さない。

 これらの定量評価に有用なのは,情報セキュリティに関する保険である。しかしながら,保険会社にとっても料率の設定などが困難で,(米国では)よい商品になっていないのが現状だ。実際,ほとんど利用されていない。だが,保険会社各社は改善を続けているので,よい商品がそのうち登場するだろう。よい商品が登場すれば,有用なセキュリティ・ツールになる。いつになるかは分からないが,ゆくゆくは人気商品になるだろう。

(勝村 幸博=IT Pro)