開閉ボタン
ユーザーメニュー
ユーザーメニューコンテンツ
ログイン

  • 会員限定
  • 2008/02/28

【連載】情報セキュリティの投資対効果を追求する(4)技術的安全対策の投資対効果

これまで、情報セキュリティの分野において投資対効果を論じることはタブーとされてきた。その結果として管理策を導入していながら事故を起こしてしまうケースが続発しているのは、ご存じのとおりだろう。ここにきて、情報セキュリティの分野において“有効性”というキーワードが注目されるようになってきた。何のための情報セキュリティなのか、ローブライトコンサルティング 代表取締役 加藤道明氏が論じる。第4回は、技術的安全対策の投資対効果について考察する。

加藤道明

加藤道明

○シニアセキュリティコンサルタント ○JIPDEC ISMS主任審査員(ISJ-B00023) ○財団法人日本科学技術連盟所属MS審査員(ISMS、ITSMS、BCMS) ○平成15年度保健医療福祉分野ISMS制度WGメンバー ○電気情報通信学会員  金沢工業大学大学院(情報工学専攻)卒業、1986年関西日本電気入社、日本電気、住商情報システムのセキュリティ・ソリューション課長を経て、2004年9月独立開業、現在に至る。  基幹業務システム(主に販売管理と生産管理)と情報通信およびセキュリティに精通。1997年、金沢市と米国サンフランシスコのオフィス間にVPN(仮想閉域網)を構築。以来、ネットワークセキュリティ、情報セキュリティマネジメント、個人情報保護に関して、コンサルティングや教育およびシステム設計で数多くの実績を持つ。また、行政系介護支援事業における個人情報保護コンサルティングおよび同事業情報セキュリティ委員会事務局などの経験もあり。ISMS/BS7799、プライバシーマーク認証取得および運用、また、システムセキュリティ設計の実績豊富。

ハードウェアの運用が確実でないことによる損失はどの程度?

 開発環境と本番環境の分離に関する投資対効果の評価では、ハードウェアの運用が確実でないことによって起こり得る事件・事故があるか、また、その場合に想定される損失はどの程度なのかを定量的に把握できるかが鍵となる。一例として、不注意か故意かを問わず、本番環境に対する許可されていないアクセスのリスクを想定し、どのような事件・事故が起こりえるのか、また、その事件・事故による損失は想定できるのかをシミュレーションしてみる方法もある。

 もし、想定される損失が投資する費用以上であるならば、開発環境と本番環境を分離する施策を選択する。

第三者が提供するサービスの適切なレベルを
実現・維持できないことによる損失はどの程度?

 次に、第三者に対する定期的な監査やリスクの再評価によるサービス内容の変更の導入・運用に関する投資対効果の評価では、第三者が提供するサービスの適切なレベルを実現・維持できないことによって起こり得る事件・事故があるか、また、その場合に想定される損失はどの程度なのかを定量的に把握できるかが鍵となる。一例として、委託先と合意したセキュリティ要件が満たされない場合のリスクを想定し、どのような事件・事故が起こりえるのか、また、その事件・事故による損失は想定できるのかをシミュレーションしてみる方法もある。

 これもまた、想定される損失が投資する費用以上であるならば、第三者に対する定期的な監査やリスクの再評価によるサービス内容の変更を行う施策を選択する。

許可されていない情報操作が
検知できないことによる損失はどの程度?

 最後に、監査ログの取得やシステムの使用状況監視の導入・運用に関する投資対効果の評価では、守りたいものに対して、許可されていない情報操作が検知できないことによって起こり得る事件・事故があるか、また、その場合に想定される損失はどの程度なのかを定量的に把握できるかが鍵となる。一例として、個人情報漏えいなどの事件・事故が発生したと仮定して、監査ログがないとして、事件・事故による損失は想定できるのかをシミュレーションしてみる方法もある。 これもまた、想定される損失が投資する費用以上であるならば、監査ログの取得やシステムの使用状況監視を行う施策を選択する。

 以上、通信および運用管理における技術的安全対策について、投資対効果を把握する例をご紹介させていただいた。技術的安全対策は物理的安全対策などに比べると、費用が増す傾向にある。新しい施策を導入するときはもちろんのこと、すでに導入した施策についても、その施策は本当に有効なのかを確認してほしい。このことは、経営合理化の面でも必要なのではないだろうか。ぜひ、ご検討いただきたい。

《次回へつづく》

《撮影:郡川正次》

この続きは会員限定です

ここから先は「ビジネス+IT プレミアム会員」に登録の方(登録は無料)のみ、ご利用いただけます。

今すぐビジネス+IT会員にご登録ください。

すべて無料!ビジネスやITに役立つメリット満載!

  • 1

    インタビューから事例記事まで、ここでしか読めない1万本超の記事が無料で閲覧可能

  • 2

    導入事例資料や技術資料、デモ動画などを無料でダウンロード・閲覧可能

  • 3

    年間1,000本以上、会員限定のスペシャルセミナーにご招待

  • 4

    ビジネス+IT編集部が必読記事を、メールマガジンでお知らせ!

IT投資・インフラ戦略 ジャンルのセミナー

IT投資・インフラ戦略 ジャンルのトピックス

IT投資・インフラ戦略 ジャンルのIT導入支援情報

関連リンク

PR

ビジネス+IT 会員登録で、会員限定コンテンツやメルマガを購読可能、スペシャルセミナーにもご招待!