最初のテクニックは、優先順位付けだ。作業項目とセキュリティリスクの両方に順位を付けて、何を一番優先すべきかを明確にする。これは事業部門代表の同意がなければできないので、情報セキュリティガバナンス委員会の招集が必要になる。というのも、この意思決定は、情報セキュリティリスクだけでなく、ビジネスリスクにも関わるからだ。委員会に提示する優先順位リストは要旨にとどめ、各リスクの説明は必要最小限でよい。トップ10のリスクを挙げれば十分だ。

　ガバナンス委員会はこれを基に意見を述べ、必要に応じて作業項目の優先順位を見直す。このプロセスはリスクの優先順位を決めるとともに、人員不足のせいで完全には対処できないリスクがどれくらいあるかを知ってもらう場にもなる。こうした取り組みは次年度以降の情報セキュリティ予算の増額にも役立つだろう。

テクニック2：効率化

　情報セキュリティ担当者が仕事の一部を手放すのはなかなか難しいが、アウトソーシングを利用すれば、空いた時間を重要度の高い作業に回すことができる。ログ監視やパッチ適用といった反復作業やルーチンワークには、セキュリティチームの作業を補助する優れたセキュリティ製品やサービスを利用することが可能だ。また、セキュリティポリシーの策定や契約内容の精査にはリソースを割いて手を貸し、セキュリティに関する助言を出すようにする。

　情報セキュリティコミュニティーでは、セキュリティの重視される企業環境にクラウドサービスを採用することの是非が議論されることがある。必要なレベルのセキュリティを提供するクラウド事業者かどうかを入念に確認することが重要だ。

　クラウドサービス事業者からは、ホスティング型ソリューションにはない低コストのセキュリティ機能も提供されている。監査システムに限らず、米Googleなどのクラウドサービス事業者では、中小企業がホスティング型メールシステムの保護に割り当てるリソースより豊富なリソースを用意している。

　社内の別の部署から助けを借りるという手もある。例えば、ヘルプデスクの技術者は、情報セキュリティ部門にぴったりの助っ人だ。彼らの多くは新しいスキルを身に付けてキャリアアップするチャンスを求めている。また、ユーザーサポートの前線で働く彼らがセキュリティについて学ぶことは、セキュリティの脅威をいち早く見つけるのにも役立つ。その他、人事、経理、法務、内部監査などの部署も、情報セキュリティ作業の戦力になる。

テクニック3：自動化

　人手不足の情報セキュリティチームの能率を高める最後のテクニックは、自動化だ。情報セキュリティには、自動化できるルーチンワークが多い。パッチの適用、脆弱性のスキャン、ログの集約などがそうだ。作業によっては、完全自動化するにはカスタムスクリプトの作成が必要になるものもある。そのための時間を捻出するのは大変でも、将来的には時間の節約になる。

　自動化には、セキュリティイベントの収集と関連付けを行うSIEM（セキュリティ情報・イベント管理システム）などのシステムを導入する方法もある。このようなシステムは、的確に調整と設定を行えば、情報セキュリティチームの効率を飛躍的に伸ばしたり、インシデント対応時間を全体的に短縮したりできる。SIEM製品の価格帯は幅広く、無料で使えるオープンソースのものもある。

効率化で「ストレス」から「満足」へ

　情報セキュリティ部門の仕事は、作業量が多く複雑なことから、人員不足に陥りがちだ。サイバー犯罪者は脆弱性を1つ見つけるだけで目的が果たせるが、情報セキュリティ担当者はあらゆる脆弱性を見つけてつぶさなければならない。たとえ予算があっても、情報セキュリティの素養を備えた人材を探すのは簡単ではない。適切なワークライフバランスを取れなくなった情報セキュリティ担当者は、最終的に燃え尽きてしまう。

　解決策は、情報セキュリティ作業をバランスよくチームに配分して、増員なしでより多くの作業をこなすことだ。作業配分とチームの効率アップのためのテクニックが、上述した優先順位付け、効率化、自動化の3つである。情報セキュリティガバナンス委員会で作業の優先順位を決め、アウトソース可能な作業を見つけて効率化し、最後に残りの作業を自動化する新しいシステムを購入または構築する。このような系統立ったテクニックを駆使すれば、情報セキュリティチームは時間を節約できるのみならず、仕事に対する満足度を高め、全般的にストレスを軽減できるだろう。

本稿筆者のジョセフ・グラネマン氏は、情報セキュリティ管理のエキスパート。情報技術との関わりは医療ITを中心に20年以上に及ぶ。現在は医療IT・情報セキュリティ分野の執筆および講演を行う傍ら、医療IT・セキュリティに関する諸問題のコンサルタントとして取材を受けることも多い。ここ10年ほどは、医療・金融サービス業界におけるさまざまな導入事例に注目するなど、特にクラウド環境におけるコンプライアンスと情報セキュリティに取り組んでいる。