開閉ボタン
ユーザーメニュー
ユーザーメニューコンテンツ
ログイン

  • 会員限定
  • 2007/10/30

【連載】情報セキュリティの投資対効果を追求する(2)情報セキュリティのための組織づくりの投資対効果

これまで、情報セキュリティの分野において投資対効果を論じることはタブーとされてきた。その結果として管理策を導入していながら事故を起こしてしまうケースが続発しているのは、ご存じのとおりだろう。ここにきて、情報セキュリティの分野において“有効性”というキーワードが注目されるようになってきた。何のための情報セキュリティなのか、ローブライトコンサルティング 代表取締役 加藤道明氏が論じる。

加藤道明

加藤道明

○シニアセキュリティコンサルタント ○JIPDEC ISMS主任審査員(ISJ-B00023) ○財団法人日本科学技術連盟所属MS審査員(ISMS、ITSMS、BCMS) ○平成15年度保健医療福祉分野ISMS制度WGメンバー ○電気情報通信学会員  金沢工業大学大学院(情報工学専攻)卒業、1986年関西日本電気入社、日本電気、住商情報システムのセキュリティ・ソリューション課長を経て、2004年9月独立開業、現在に至る。  基幹業務システム(主に販売管理と生産管理)と情報通信およびセキュリティに精通。1997年、金沢市と米国サンフランシスコのオフィス間にVPN(仮想閉域網)を構築。以来、ネットワークセキュリティ、情報セキュリティマネジメント、個人情報保護に関して、コンサルティングや教育およびシステム設計で数多くの実績を持つ。また、行政系介護支援事業における個人情報保護コンサルティングおよび同事業情報セキュリティ委員会事務局などの経験もあり。ISMS/BS7799、プライバシーマーク認証取得および運用、また、システムセキュリティ設計の実績豊富。

未然に防止できた損害を定量的に把握する

 次に、「5.内部監査担当部署や審査・監査機関等の第三者機関によるレビュー」について考察する。内部監査担当部署や審査・監査機関等の第三者機関によるレビューの目的は、妥当性および有効性を維持すること、認証取得により第三者機関に評価をうけ対外的にPRすることである。後者は情報セキュリティの基本的な目的の事業機会を最大限にすることにつながる。ここでかかる費用は、内部監査や審査・監査機関等の第三者機関にかかる費用である。

 投資対効果の評価の方法としては、かかる費用とレビューによって未然に防止できた損害を定量的に把握し比較検討することが考えられる。また、認証取得による売上への貢献が期待できる場合は、その貢献度を定量的に評価することも忘れてはならない。不明確な貢献は、評価されないものである。

事故発生時に想定される損害を定量的に把握する

 では、「7.他社がかかわるリスクの識別と適切な管理策の実施」についてはどうだろうか。外部組織がかかわるリスクの識別と適切な管理策実施の目的は、外部組織によってさらされる危険を最小限にすることである。情報セキュリティの目的である事業継続を確実にすること、事業リスクを最小限にすることにつながる。

 ここでかかる費用は、外部組織がかかわるリスクの識別とその管理策にかかる費用である。ここでもまた、費用が少なければよいというものではない。投資対効果の評価の方法としては、かかる費用と事故発生時に想定される損害を定量的に把握し比較検討することが考えられる。外部組織から提供されるサービスレベルの申し合せが鍵となる。サービス提供側における補償を明確にすることも忘れてはならない。

得られる利益を把握する

 最後に、「8.顧客にサービスする際の適切な管理策の実施」について考察しよう。顧客にサービスする際の適切な管理策実施の目的は、サービスレベルを維持することである。ここでかかる費用は、要求事項の明確化とその管理策にかかる費用である。

 投資対効果の評価の方法としては、かかる費用と得られる利益および事故発生時に想定される損害賠償を比較検討することが考えられる。ここでもまた、サービスレベルの申し合せが鍵となる。サービス提供側とサービスを受ける側双方の責任を明確にすることを忘れてはならない。顧客からの値下げ要求において、安全を犠牲にする商習慣は、そろそろ改めたいところである。

 以上、効果を定量的に把握することにこだわってご紹介させていただいた。近年、金額を含め定量化しなければ、経営判断も難しい時代になっている。“マネジメント”とは、感覚論ではなく、定量的に把握し押し進めるものである。上記でご紹介した施策は事例によるものであり、実際に導入し効果を上げている企業もある。このような観点で管理されていない企業は、ぜひ一度ご検討いただき、そう遠くない時期に合理的な手法を確立し、効果を上げられることを期待したい。

《次回へつづく》

《撮影:郡川正次》

この続きは会員限定です

ここから先は「ビジネス+IT プレミアム会員」に登録の方(登録は無料)のみ、ご利用いただけます。

今すぐビジネス+IT会員にご登録ください。

すべて無料!ビジネスやITに役立つメリット満載!

  • 1

    インタビューから事例記事まで、ここでしか読めない1万本超の記事が無料で閲覧可能

  • 2

    導入事例資料や技術資料、デモ動画などを無料でダウンロード・閲覧可能

  • 3

    年間1,000本以上、会員限定のスペシャルセミナーにご招待

  • 4

    ビジネス+IT編集部が必読記事を、メールマガジンでお知らせ!

セキュリティ総論 ジャンルのセミナー

セキュリティ総論 ジャンルのトピックス

セキュリティ総論 ジャンルのIT導入支援情報

関連リンク

PR

ビジネス+IT 会員登録で、会員限定コンテンツやメルマガを購読可能、スペシャルセミナーにもご招待!