• 会員限定
  • 2014/05/20 掲載

経営陣を納得させる、IT投資におけるリスク評価の基本

【連載】Windows Server 2003サポート終了(2)

  • icon-mail
  • icon-print
  • icon-hatena
  • icon-line
  • icon-close-snsbtns
記事をお気に入りリストに登録することができます。
現在のビジネスは、ITへの依存度が高くなっており、意識している・いないにかかわらず、ITが停止してしまうとビジネスそのものが立ち行かなくなる企業も多い。このような状況でITセキュリティを考慮していない経営は、いつ事業継続が立ち行かなくなるかわからない危険性を秘めている。しかし、その危険性を十分に理解できる経営者は少なく、情報システム部門の担当者はそれをどのように伝えればよいのかについて、日々頭を悩ませているのではないだろうか。今回は、前回紹介したWindows Server 2003サポート終了に伴う各種選択肢のビジネスリスクを分析する前に、まずはどのようにビジネスリスクを算定するべきかについて解説したい。
執筆:村嶋 修一

ITセキュリティ投資の難しさ

 事業を存続をするために、事業継続を脅かすリスクに対策を施すのは、経営として必要不可欠な投資だ。

 ITセキュリティ投資も、リスク対策の一つであるが、セキュリティ投資が経営判断として難しいのも確かだ。ITセキュリティは高度に専門知識を必要と領域なので、経営層が判断に困るのは当然ともいえる。

 また、ITセキュリティ状況は、日々変化しており、不断の情報収集と蓄積が必要な分野である事も経営判断の難しさを増している要因である。

 つまり、経営層から見てITセキュリティ投資は「投資の必要性と妥当性がわかりにくい」問題なのだ。

 昨今ITセキュリティ問題が頻繁にマスメディアに取り上げられているので、流石にITセキュリティ投資は一切不要だといった判断を下す経営者は少なくなっているが、ではどの程度投資するのが妥当なのかの判断は難しいのは変わりがない。

 ITセキュリティを確保するためには経営層が意思決定をするために必要な判断材料を提供することが必要不可欠なのである。そこで、長年企業の情報システム部門に携わってきた筆者の経験をもとに、経営層の心に響く

リスク評価がなぜ必要なのか

 ITセキュリティ投資の妥当性を判断するには、「客観性」「網羅性」「妥当性」が必要だ。

「客観性」
第三者が見て、何をどのように評価したのかが透明で、数値化されているのが客観性を備えるための条件だ。

「網羅性」
1つの事象だけに着目せずにリスクとして想定される事全般に対して評価がされているかが網羅性だ。1つの脆弱性にだけ着目して大騒ぎしても、それより大きな問題を見逃してしまっては元も子もない。

「妥当性」
経営判断としてITセキュリティ投資にどの程度の金銭や人や物などのリソースを投資をするのかを判断する基準が妥当性だ。たとえば、1,000万円の損失が想定されるリスクに対し、1,000万円の対策コストを投資しするのはオーバーコストだ。各組織によって事情が大きく異なるので、各組織の事情に合わせた妥当性を評価し、実務では人・物・金・時間の具体的な数値として表現するのが良いだろう。

リスク評価をどう使うか

 リスク評価自体は判断材料の1つでしか無く、経営判断にはその他色々な要因を判断材料として加味する。判断の一例を紹介すると、以下のような判断がされる。

「重要性」
リスク評価から、リスクが事業に対してどの程度のダメージを与えるのかと、対策の緊急性の情報を得る。

「コスト情報」
対策案より、リスク軽減の効果と必要投資の情報を得る。

「世の中の状況」
リスクが世の中でどのような状況になっているのか、どのような対策がされているのかの情報を得る。

「自組織の対応状況」
リスクに対してこれまでどのような対策をしてきたのか。対策をしていたのであれば従来の対策は現時点でどの程度有効なのか。

「結論」
自社の収益状況、実施すべき対策の選定と優先順位付け、投資と効果(損失回避)評価を総合的に判断し結論を出す。

 リスク評価結果を有効に活用してもらうためには、ただ単にリスク評価だけをするのではなく、対策に必要なコスト、世の中の状況、今までの対応状況もあわせて経営層へ進言するのが早道だといえる。

【次ページ】リスクの算出方法

関連タグ タグをフォローすると最新情報が表示されます
あなたの投稿

    PR

    PR

    PR

処理に失敗しました

人気のタグ

投稿したコメントを
削除しますか?

あなたの投稿コメント編集

機能制限のお知らせ

現在、コメントの違反報告があったため一部機能が利用できなくなっています。

そのため、この機能はご利用いただけません。
詳しくはこちらにお問い合わせください。

通報

このコメントについて、
問題の詳細をお知らせください。

ビジネス+ITルール違反についてはこちらをご覧ください。

通報

報告が完了しました

コメントを投稿することにより自身の基本情報
本メディアサイトに公開されます

必要な会員情報が不足しています。

必要な会員情報をすべてご登録いただくまでは、以下のサービスがご利用いただけません。

  • 記事閲覧数の制限なし

  • [お気に入り]ボタンでの記事取り置き

  • タグフォロー

  • おすすめコンテンツの表示

詳細情報を入力して
会員限定機能を使いこなしましょう!

詳細はこちら 詳細情報の入力へ進む
報告が完了しました

」さんのブロックを解除しますか?

ブロックを解除するとお互いにフォローすることができるようになります。

ブロック

さんはあなたをフォローしたりあなたのコメントにいいねできなくなります。また、さんからの通知は表示されなくなります。

さんをブロックしますか?

ブロック

ブロックが完了しました

ブロック解除

ブロック解除が完了しました

機能制限のお知らせ

現在、コメントの違反報告があったため一部機能が利用できなくなっています。

そのため、この機能はご利用いただけません。
詳しくはこちらにお問い合わせください。

ユーザーをフォローすることにより自身の基本情報
お相手に公開されます