Column

セキュリティ投資のビジネス価値はシックスシグマで示せ

業務部門というのは、「測定不能なもの」を測定するよう求めるところだ。セキュリティ投資の効果を具体的な数字で表すにはどうしたらいいだろうか。

公開 2007年05月15日 05時15分

更新 2012年09月04日 19時44分

著者

Tom Bowers

[TechTarget]

印刷する

　業務部門の連中がまた騒いでいる。セキュリティ投資のROI（投資利益率）の証拠、つまり数字を示せというのだ。彼らは、「測定不能なもの」を測定するよう求めているのだ。セキュリティが常にコストセンターと見なされ、決してプロフィットセンターと見なされることがないというのは、本当に残念なことだ。しかしこれがビジネスの世界の現実なのだ。セキュリティの本質はリスク管理機能にある。問題は、従来のROIモデルは、セキュリティのビジネス機能にうまく当てはまらないということだ。セキュリティスタッフは、会社にとって不都合な事が起きるのを防ぐが、それをどのように測定すればいいのだろうか。

　筆者は以前、大手製薬会社のセキュリティ部門で働いていたが、そこでは新プロジェクトの立ち上げや新技術の導入の価値を示す重要なデータを特定するために、シックスシグマを使用して成功した。われわれはROIを実証しようと試みるのではなく、シックスシグマツールを利用して何が測定可能なのかを特定した上で「測定」を行い、そのデータの分析結果をCFO（最高財務責任者）に提示してビジネス価値を示したのである。結局、重要なのは、常に「ビジネス価値」を示すことである。この価値は、経費節減額として具体的な数字で表すことが望ましい。

　シックスシグマとは、ゼネラル・エレクトリック、モトローラ、フォードといった企業が製造工程を改善するために用いている統計的プロセス測定手法である。これはデータ主体型の手法であり、統計データを用いて問題個所を特定する。特定された問題個所は、優先順位を付けた上で解決される。シックスシグマはプロセスの弱点を減少させるため、生産ラインの効率が高まり、利益率が改善される。製造工程に限らず、どんなプロセスにも応用でき、サービス業界でもそれを活用する人は多い。

　シックスシグマの要は、何を測定するかである。シックスシグマには、以下に示す5つの基本ステップがある。

定義――パフォーマンス改善目標
測定――評価対象となる既存システム
分析――欠点の解消を目的とする
改善――プロセスの改善には創造性が必要
管理――プロセスを制度化する

　筆者が勤めていたセキュリティ部門では、シックスシグマの最初の3つのステップを実行した。

1. 定義

　この段階での目標は、測定可能なイベントを特定することである。例えば、重要なデータが保存されているノートPCの盗難である。もう1つの例としては、紙ベースの情報リスク監査報告書が、（シュレッダーにかけられずに）くずかごに捨てられた場合なども考えられる。

2. 測定

　われわれは、測定を定義するのに用いる「単位」を決定した。何を測定し、どの単位を使用するかというのは、測定対象となるプロセスによってのみ決定される。例えば、フォレンジック検査であれば、復旧した情報または勝利した訴訟といった基準に基づき、「件数」あるいは金額によって測定できる。ノートPC盗難の例の場合は、件数あるいは金銭的価値（情報の価値とデバイス自体の価値）のいずれか、もしくは両方を用いて測定できる。

3. 分析

　われわれは、測定したイベントのビジネス価値を、CFOによる予算承認が必要なすべての項目（計画したセキュリティプロジェクトやスタッフの増員など）と照らし合わせて評価した。

　われわれは次に、法令順守違反のリスクについて検討した。さらに、他社の情報盗難リポートや法令順守違反リポートなどの社外の事例も活用した。これらは自社の事例ほどの説得力はなかったが、業務部門のスタッフとの議論でわれわれの主張の合理性の枠組みを提供するものとなった。筆者は、GoogleアラートやRSSフィードなどのツールを使って、こういた事例を毎日検索した。

　より大きな統計サンプルを作成するために、われわれはフリーウェアや市販のリスク評価ツールを使用した。注意しなければならないのは、フリーウェアツールはソフトウェアのコストという点では無料だが、それを習得するのに必要な時間は無料ではないということだ。実績のあるツールとしては、「NIST SP 800-30」（リンク先はPDF）「Octave」「OSSTMM」などがある。市販ツールは購入コストが掛かるが、一般にユーザーフレンドリーで、リポーティング機能が充実している。この分野で検討すべきベンダーは、リレーショナルセキュリティ（RSAM）とリスクウオッチだ。

　ITセキュリティデータの収集には、SEM／SIM（セキュリティイベント管理／セキュリティ情報管理）ツールを利用した。SEM／SIMはログとイベントの相関情報を提供する。イベントの相関関係については、1カ所で起きたイベントとほかの個所での補強証拠を関連付ける機能もある。これらのツールはクオリティの高いデータを提供し、インフラを防御するためのセキュリティ対策がもたらすROI／ビジネス価値をより明確に示すことができる。またSEM／SIMツールは、具体的なコンテンツセキュリティイベントのデータを提供するコンテンツ監視アプライアンスと通信することもできる。SEM／SIMはイベントを集約する機能を備えるため、定義／測定／分析プロセス実施後の改善効果を容易に示すことができる。要するに、SEM／SIMツールは、分析を行う上での基礎となるデータおよび改善効果を示すのに役立つデータを大量に提供してくれるのだ。

　これらはいずれも、セキュリティのビジネス価値を示すのが目的だ。われわれの取り組みの成功のカギとなったのは、シックスシグマツールを使ってわれわれが開発した「指標」によって示されたビジネス価値について説明することだった。これらのツールを利用することにより、われわれは自社の事業目標の達成を妨げる可能性のある情報セキュリティリスクを特定することができた。これにより、インシデントが起きた後の対策ではなく、インシデントが起きる前の予防策を講じることが可能になった。また、防御戦略の策定や、最も重大な情報セキュリティリスクを軽減するための計画を策定するのにも役立った。

　このようなフレームワークがあれば、経営幹部を納得させるのも容易になる。その際には、ビジネス価値に関する用語を使って話し、プロジェクトに対する経営陣の支持を段階的に（ボトムアップ方式で）獲得することが重要だ。また、最近のインシデントを引き合いに出し、インシデントへの対応や調査に伴う金銭的損失を示すこと。一般的に言えば、フォレンジック検査の結果を利用する（自明な証拠を提示する）ことも重要だ。また、リスク評価や監査の結果を、数値化のための指標として利用すること。法令順守や個人情報保護に関する要件との関係を明らかにし、あなたのプロジェクトが自社の知的財産と経営幹部を保護するものであることを示すことも忘れてはならない。最後に、プロジェクトと予算を段階的に提案することにより、CFOをはじめとする経営幹部の支持を取り付けること。

本稿筆者のトム・バウアーズ氏は、「Information Security」誌のテクニカルエディターで、独立系シンクタンク／業界アナリストグループ、セキュリティコンストラクツのマネージングディレクターを務める。CISSP（公認情報システムセキュリティプロフェッショナル）、PMP（プロジェクトマネジメントプロフェッショナル）、CEH（認定倫理的ハッカー）の資格を保有する。製薬会社でセキュリティマネジャーを務めた経験もある。

印刷する