リスクを完全に排除することはできないが、脆弱性を減らすことはできる。次のように考えるといい。家のドアには普通、鍵をかける。それで、かなりのセキュリティは確保できる。さらにドアに幾つか安全錠を追加したり、鍵付きの網戸を追加してもいいだろう。そうすれば、家のセキュリティは確実に強化される。もっとも、通常はシンプルな鍵だけでも「十分にセキュア」だ。

　ただし、セキュリティが十分かどうかを自問する際には、「十分」というのは相対的な言葉であり、さまざまな状況に応じて常に変化するものであることを理解しておく必要がある、とフィリップス氏は指摘している。ある組織にとっては十分でも、ほかの組織にとって十分とは限らない。

　十分なセキュリティを確保するための鍵は、徹底的なリスク査定を実行することだ。このプロセスは、企業のサイズ、垂直市場、システムに含まれるデータの種類によっても違ってくる、とフィリップス氏。

　ラシエラ大学のCIO、サム・ヤング氏によれば、同氏にとって最も重要な資産は同校の評判だという。同校の評判は、個人情報をきちんと管理できるかどうかにかかっている。大学のようにコンピュータに精通したユーザーの多い環境において、それは容易なことではない。「ハッカーのような青少年を育成しながら、一方では当校のサーバをハッキングから守る、というのは非常に難しいことだ」とヤング氏は語り、大学教育の現場において多くのIT幹部が感じている思いを訴えている。

　セキュリティ侵害を防止するために8～10層ものセキュリティレイヤーが施されている場合まであるにもかかわらず、学生はセキュアなシステムを回避するための新しい方法を常に探している、とヤング氏。技術変化のスピードを考えれば、100％のセキュリティなど決して実現できない、というのがヤング氏の意見だという。

　「脆弱性は常に存在している。Microsoftの製品をアップグレードすれば、何かしら起きる。パスワードにしてもそうだ。パスワードを付せん紙に書いてPCに張り付けている人も多い。自分の秘書にパスワードを教えている副社長もいる」とヤング氏。

　「十分にセキュア」であれば、とりあえずはOKだということを認めるのが、まず最初のステップだ。その後のステップとして、フィリップス氏は以下のようなリスクベースのアプローチを推奨している。

• 新しくスタートする。自社の状況を見直し、「何を保護すべきか」「なぜ保護すべきか」について、皆を同じ理解に立たせる。ビジネスにとっての重要度を定義する。
• 重要な資産を評価し、整理する。「自社の成功にとって決定的な要因は何か？」「成功に必要となる重要な資産は何か？」を整理する。
• 脆弱性を見積もる。外部からの脅威と内部の脅威について検討し、損失の可能性を見積もる。
• 各資産のセキュリティを確保するための最善の方法を判断する。
• 資産価値に基づき、必要なリソース量を判断する。

　「まずはリスクプロファイルを作成することだ。どのような選択をしようと、基本的にはさいころを振るのと同じだ。完璧なソリューションなどない。“ある程度のリスクは引き受けなければならない”と納得するしかない」とフィリップス氏は語っている。