今だから再認識したいセキュリティの原則 情報セキュリティ対応はリスクマネジメントの一要素

「情報資産の安全を確保する」という視点が重要

サイバーセキュリティの話題から始めましたが、セキュリティ対策で考えるべきは、サイバー空間からの攻撃への対処だけではありません。例えば自然災害時に組織内の情報の機密性を保持するといった、広く組織の情報資産（情報やそれを取り扱うシステムを含む）の安全を確保するという視点、つまり情報セキュリティの確立が重要です。情報は今や、ヒト、モノ、カネと同じく、組織の重要な資源と捉えられています。デジタル時代ならではのキーファクターに関するリスクマネジメントをいかにおこなっていくかが、企業活動の成否に結び付くと言っても過言ではありません（図表1）。

リスクを脅威・脆弱性・価値の3つで考える

ここからは、情報セキュリティの管理をリスクマネジメントの枠組みで考えてみましょう。リスクは一般的に、「発生可能性」と「影響度」から、その重要性が順位付けされます。ここでは、発生可能性を「脅威」と「脆弱性」の2つに分解し、影響度を「価値」と言い換え、「脅威」、「脆弱性」、「価値」の3つの軸で、考慮すべき重要なリスクの洗い出し方を考えてみましょう。

まず「脅威」ですが、これはインシデントの潜在的な要因です。情報セキュリティの分野では、自然災害といった「環境的要因」、人的なミスといった「誤謬による要因」、内部者による不正行為、外部からのサイバー攻撃といった「意図的な要因」の3つに分けて整理すると、起こり得る事象の多くを把握することができます。

インシデントを発生させるもう一つの側面として「脆弱性」が挙げられます。これは、脅威に対する対策の不備とも言えます。例えば、「落雷対策をしていない」、「データファイルへのアクセス制御が設定されていない」、「データのバックアップが取られていない」などが考えられます。

脅威と脆弱性が合わさって、リスクがどの程度の可能性で発現するかが決まります。ただし、それはあくまで概念的な話です。同一環境での事象の発生頻度が少なすぎるために統計的な分析はできないことが多いため、ほとんどの場合は、過去の対応を参考にしたり、専門家の知見を取り入れたりしながら、リスクの発生可能性を感覚的に判断せざるを得ません（もちろん、統計的に分析できる場合は統計的に分析するほうが好ましい）。

「価値」は、組織に与える影響度と考えられます。情報資産の価値は、会計的な価値だけではなく、ブランド価値といったものも含まれます。そのため、価値を正確に金額として見積もることは難しいと言えます。例えば、顧客データの漏えいは企業の会計的な価値のみならず、ブランド価値を損ねる重大なインシデントです。ただ、同時期に他の企業で同様の事故が起こったり、他に大きな事件があってメディアであまり取り上げられなかったりすると、価値への影響度が変わります。このため、その時々に応じて価値を測っていく必要があるでしょう。

祇是未在 ― 適時の対策の見直しこそ重要

どのような情報セキュリティ対策を実施すればよいかを決めることは、簡単ではありません。統計的な分析を基礎とした対策を立案できないこと、環境変化が早いためリスクが常に変化すること、技術進歩が早く対策の技術も変化するというのが理由です。具体的には、長年使っていたソフトウェアに今まで知られていなかった脆弱性が発見されたり、社会情勢により個人情報の漏えいがよりシビアに見られるようになったり、従来では高額で手が出なかった対策が安価でできるサービスが提供され始めたりする、といったことが挙げられます。企業や組織においては、これらの要因によって引き起こされる脅威、脆弱性、価値および対策の変化を継続的に把握しておくことが重要です。

このような環境変化が常にある領域では、OODAループ^*1を意識した意思決定と行動が重要です。年に1度、定期的にリスクを見直すことも重要ですが、リスクの変化を継続的に把握し、適時の対応ができるようにしておくことも併せて重要となります。現場レベルでは、イベントに応じて対策を適時に見直し、マネジメント全体では年に1度の見直しを行う、といったすみ分けがよいでしょう。

情報セキュリティを管理する上では、常に変化する環境の中で、リスクマネジメントの一環としての意思決定が求められます。ワンショットの正解を求めるというよりも、常に正解に近付いていくという姿勢で取り組むのがよいと考えます。常に変化を意識し、適時に適切な対策ができるような体制を整え、実施することが重要と言えます。

「祇是未在（ただこれみざい）」――。セキュリティ対策に完成はありません。正解を追い求める姿勢こそ重要です。

^*1意思決定と行動に関する理論の１つ。元々は航空戦を行う際のパイロットの意思決定を対象とし、ジョン・ボイド米空軍大佐により提唱されたものを一般化したもので、現在は軍事領域のみならず経営も含めてさまざまな場面で活用されている。観察（Observe）- 情勢への適応（Orient）- 意思決定（Decide）- 行動（Act）のループによって、健全な意思決定を実現することができるという考え方。