コンプライアンスとセキュリティのバランスを取るための5原則

　セキュリティとコンプライアンスのバランスを効果的に取っている企業は、法令の文言を単純になぞってはいない。法令で定められた以上のことをやっているのが普通だ。それによって自社の環境が一層セキュアになるからだ。コンプライアンスに乗り出す企業は、情報セキュリティが取り残されることのないよう、以下に挙げる5つの原則に従うことだ。

1. セキュリティプログラムはセキュリティフレームワークを基盤とする

　CIOは、法令上の義務ではなくセキュリティ原則に基づいて自社のセキュリティプログラムを作成しなければならない。ISO 17799やCOBITなどのフレームワークは出発点として優れている。フレームワークとそれに関連する管理態勢が確立できたら、それを現在および今後の法令に当てはめ、必要な点は調整を加える。セキュリティプログラムがコンプライアンス義務に基づいていると、新しい法令が導入されたり、あるいは現行法が改正された時でさえも、そのたびに更新や変更が必要になる。第2に、法令は通常、ある特定の種類のリスク（例えば個人情報保護、クレジットカード番号保護など）に対応しているが、企業の知的財産やビジネスモデルの保護といった事業上のリスクには対応していない。

2. コンプライアンス予算を情報セキュリティ管理に活用する

　セキュリティの出費とコンプライアンスの出費は区別すること。情報セキュリティ組織がコンプライアンスの責任を持たされたというだけの理由で、CIOがコンプライアンス出費と情報セキュリティ出費をひとくくりにしてしまうことも多い。しかしCIOは経営陣を説いて、セキュリティ支出に関する決定はコンプライアンス義務を満たすことだけなく、その組織にとってのリスクを根拠とし、会社の目標に沿ったものでなければならないと認識させる必要がある。

3. ポリシーコンプライアンス自動化と監査

　自動化すれば、監査人からは手作業でこの情報を集める時間と労力が省けたと感謝されるだろう。これは企業と監査人の双方にとって好ましい。コンプライアンスプログラムで成功している米連邦政府機関は、コンプライアンスデータの収集・集計・報告を自動化しており、これによって監査は簡単で時間がかからなくなっている。例えば米国際開発庁（USAID）はスカイボックスセキュリティと契約し、庁全体の環境について最新のリスクプロファイルを受け取っている。こうすることでUSAIDは最大のリスクに焦点を絞りながら改善状況を自動的に把握でき、監査人がコンプライアンスを示すためにこれを使うことも可能だ。IBM傘下のコンサルリスクマネジメント、インテリタクティクス、マカフィーといったベンダーのセキュリティ情報管理（SIM）ツールや、アーチャーテクノロジーズ、ブラビオンといった各社の情報リスク管理ツールを使い、コンプライアンスのためのセキュリティ管理を文書化・自動化している組織もある。こうしたツールは組織の各所からデータをとりまとめる上で素晴らしい働きをしてくれるばかりか、監査を自動化し、個別のコンプライアンスプロジェクト用に報告書を作成してくれる。

4. リスクと法令の変化に備える

　効率的なセキュリティプログラムでは、リスクと法令の変化に対処することが可能だ。企業は変わり続ける情報セキュリティのリスク展望と、移り行く法令義務を同時に処理できなければならない。CIOは定期的に自社のセキュリティおよびコンプライアンスプログラムを見直し、現状に沿いかつ適切であることを確認する必要がある。組織は一般に、セキュリティかコンプライアンスのいずれかに重点を置いて、両方には置かない傾向があるが、これは2つをそれぞれ別々のプロジェクトと考えているからだ。コンプライアンスプロジェクトでセキュリティを考慮するか、あるいはその逆ができれば、組織は両方の取り組みにもっとずっと効率的に対処できるだろう。

5. 効果的な啓発／研修プログラムを作成する

　セキュリティ問題すべての解決をテクノロジーに頼り、人とプロセスを無視しがちなCIOも多い。法令と標準によって意識が高まり、プロセスの重要性が強調されたが、人が企業の情報資産にとって最大のリスクを投げ掛けている状況は変わらない。法令では一般に、セキュリティ問題の啓発と研修を義務付けているが、啓発と研修が効果的であると保証することは義務付けられていない。実際、法令でセキュリティ啓発研修の実施を義務付けられていたある組織は、毎年1回3時間のセキュリティ啓発セミナーに従業員を出席させていた。この組織は法令義務は満たしていたが、啓発は一時的な取り組みとすべきではなく、組織内の認識を高める上で効果的なやり方とはいえない。真に行動の変化を促すためには、年間を通し、異なるコミュニケーション媒介を通じて伝えたいことを強調しなければならない。

　現在、組織は複雑に入り組んだコンプライアンス義務と企業リスクに直面している。こうしたリスクとコンプライアンスプロジェクトは従来個別に扱われてきたため、分散された業務の各所に散在している。しかし、コーポレートガバナンスと企業リスク管理への注目が高まる中、組織は企業リスクとコンプライアンス管理のために、持続可能性、効率性、一貫性を推進する首尾一貫した戦略を策定・利用する必要がある。

本稿筆者のハーリド・カーク氏は情報システム・セキュリティ・プロフェッショナル（CISSP）、公認情報セキュリティマネジャー（CISM）の資格保持者。フォレスター・リサーチ（マサチューセッツ州ケンブリッジ）のシニアアナリストとしてセキュリティ戦略を担当し、コミュニケーション戦略、セキュリティ管理、コーポレートガバナンスに情報セキュリティが果たす役割を専門とする。