開閉ボタン
ユーザーメニュー
ユーザーメニューコンテンツ
ログイン

  • 会員限定
  • 2008/01/28

【連載】情報セキュリティの投資対効果を追求する(3)物理的安全対策の投資対効果

これまで、情報セキュリティの分野において投資対効果を論じることはタブーとされてきた。その結果として管理策を導入していながら事故を起こしてしまうケースが続発しているのは、ご存じのとおりだろう。ここにきて、情報セキュリティの分野において“有効性”というキーワードが注目されるようになってきた。何のための情報セキュリティなのか、ローブライトコンサルティング 代表取締役 加藤道明氏が論じる。第3回は、物理的安全対策の投資対効果について考察する。

加藤道明

加藤道明

○シニアセキュリティコンサルタント ○JIPDEC ISMS主任審査員(ISJ-B00023) ○財団法人日本科学技術連盟所属MS審査員(ISMS、ITSMS、BCMS) ○平成15年度保健医療福祉分野ISMS制度WGメンバー ○電気情報通信学会員  金沢工業大学大学院(情報工学専攻)卒業、1986年関西日本電気入社、日本電気、住商情報システムのセキュリティ・ソリューション課長を経て、2004年9月独立開業、現在に至る。  基幹業務システム(主に販売管理と生産管理)と情報通信およびセキュリティに精通。1997年、金沢市と米国サンフランシスコのオフィス間にVPN(仮想閉域網)を構築。以来、ネットワークセキュリティ、情報セキュリティマネジメント、個人情報保護に関して、コンサルティングや教育およびシステム設計で数多くの実績を持つ。また、行政系介護支援事業における個人情報保護コンサルティングおよび同事業情報セキュリティ委員会事務局などの経験もあり。ISMS/BS7799、プライバシーマーク認証取得および運用、また、システムセキュリティ設計の実績豊富。

何をどの程度守りたいのか
どんな損失が考えられるのか

 これらの施策もまた、情報セキュリティに取り組んでいる企業では導入して当たり前と解釈され、リスクと無関係に導入される傾向がある。しかし、これらの施策においても、目的を明確にし、つまり、「守りたいものは何か」、「事故が発生した場合、どんな損失が考えられるのか」、それで「どの程度守りたいのか」を確認すべきである。情報セキュリティの目的は、施策を導入することではない。施策を導入しても、守りたいものに対して有効でなければ意味がない。

 想定される損失と施策の導入や運用にかかる費用という視点で、物理的安全対策について、投資対効果をどう見るか考察する。以下、前述の施策のなかでも、明らかに費用が必要となる1、2、13について考察する。

どの程度の損失があるか

 まず、1と2について考察する。セキュリティエリアに境界を設置する対策および、セキュリティエリアに入る者を制限し、かつ、記録を採取する対策の目的は、情報への許可されない物理的アクセスを防止することである。投資対効果の評価の方法としては、壁や電子錠の設置、ログ採取にかかる費用と、これらの施策を実施しないことによって起こり得る事件、事故の想定される損失を定量的に把握し比較検討することが考えられる。許可されていない者によって情報が持ち出されてしまった場合、どの程度の損失があるかによって、これらの施策が必要かどうかということになる。もし、想定される損失が投資する費用以下であるならば、セキュリティエリアに境界を設置またはセキュリティエリアに入る者を制限する必要はないかもしれない。

 また昨今、すべてのフロアに電子錠を設置する企業がある。しかしながら、情報セキュリティで求められるのは、個々の部門やプロジェクトの単位で境界を設けることである。情報セキュリティの分野には 「第三者」という用語が出てくるが、第三者とは社外の者や正社員以外の者とは限らない。正社員であっても、当該業務に関係しない者も第三者に該当するという点に注意しなければならない。

暗号化を実施しない…想定される損失?

 次に、13について考察しよう。社外で作業する際の遵守事項(暗号化など)を周知する目的は、情報への許可されないアクセスを防止することである。この遵守事項の一つとして、近年、暗号化が普及した。この場合、投資対効果の評価の方法としては、暗号化の環境を構築、運用する費用と、暗号化を実施しないことによって起こり得る事件、事故の想定される損失を定量的に把握し比較検討することが考えられる。これもまた、想定される損失が構築、運用する費用以下であるならば、暗号化を遵守させる必要はないかもしれない。

 以上、今回は、物理的安全対策においても投資対効果を把握する必要があるという例をご紹介させていただいた。特に、実施する物理的安全対策または実施した物理的安全対策が有効なのかを確認することは、リスクの極小化を担保するうえでも欠かすことはできない。ぜひ、一度ご検討いただきたい。

《次回へつづく》

《撮影:郡川正次》

この続きは会員限定です

ここから先は「ビジネス+IT プレミアム会員」に登録の方(登録は無料)のみ、ご利用いただけます。

今すぐビジネス+IT会員にご登録ください。

すべて無料!ビジネスやITに役立つメリット満載!

  • 1

    インタビューから事例記事まで、ここでしか読めない1万本超の記事が無料で閲覧可能

  • 2

    導入事例資料や技術資料、デモ動画などを無料でダウンロード・閲覧可能

  • 3

    年間1,000本以上、会員限定のスペシャルセミナーにご招待

  • 4

    ビジネス+IT編集部が必読記事を、メールマガジンでお知らせ!

IT投資・インフラ戦略 ジャンルのトピックス

IT投資・インフラ戦略 ジャンルのIT導入支援情報

関連リンク

PR

ビジネス+IT 会員登録で、会員限定コンテンツやメルマガを購読可能、スペシャルセミナーにもご招待!