こんなときこそ、おろそかにはできない

予算が削減されてもセキュリティを強化する方法

規模縮小とリストラの中で避けることのできない変化を利用すれば、情報セキュリティの重要性を伝えられる手段は数多くある。

公開 2009年02月09日 07時30分

更新 2012年09月04日 18時19分

著者

Michael Cobb

[TechTarget]

印刷する

　暗い年になりそうな2009年に突入し、あらゆる組織がどの部分でコストや人員を削減できそうか模索するのは確実だ。ITセキュリティのメリットは企業の業績に与える効果が最も目に見えにくいため、残念ながらいち早く予算が縮小される可能性がある。情報セキュリティの管理職にとってもスタッフにとっても、これは極めて憂慮すべきことだ。わたしの記憶では、セキュリティ予算は好調なときでも頻繁に増額されるものではなかった。つまり、ただでさえ逼迫（ひっぱく）気味のリソースが、さらに減らされそうな情勢なのだ。

　しかし、どんな形で予算を減らされても、セキュリティに対する認識の低下を招いてはならない。セキュリティ管理者として、セキュリティポリシーでコンプライアンスを確実に保ち続けるため、上層部による情報セキュリティ支持を組織内の優先課題とすることだ。ほかの部局の管理職は、かなりのプレッシャーの下でプロジェクトを迅速かつ経済的に完成させようとするだろう。しかしそうしたニーズが、セキュリティで妥協する状況に結び付くことがあってはならない。リスクの所在・責任、説明責任がポリシーと職務記述書に明記されていることを確認すれば、大きな混乱は避けられる。結局のところ、上級管理職はコンプライアンスの法的責任を負っているのだ。

　では、情報セキュリティチームが前途の困難に立ち向かう最善の方法は何か。特にIT部門内部に余剰がありそうな場合、直ちに目を向けるべき問題は「継続性」だ。スキルと後継育成計画が整っていない場合、チームメンバーが抜ければ現在の知識は保てない。メールサーバのメンテナンスとトラブルシューティングのやり方を知っているのが1人だけということはないか。ファイアウォールの設定方法を本当に理解している管理者が何人いるか。責務の分担はセキュリティにとって大切だが、責務のローテーションも大切だ。それにより、特定のスキルを1人だけに担わせることを避けられる。こうした状況は、チームの規模が小さい場合や、目を掛けて育成できる若手がいない場合に陥りがちだ。

　外部の一時雇用者、コンサルタント、業務委託者を含めて安定した従業員のセキュリティライフサイクルが確保できるよう、人事面のセキュリティポリシーも見直す必要がある。同僚たちが状況の変化に直面する中で、ITリソースと施設へのアクセスが常に従業員の現状と職務内容を正確に反映したものであることを期すため、人事部門とIT部門は緊密に連携しなければならない。例えば、従業員が辞めるときに入退室カードとIDバッジを確実に返却させる手順を定めておくのは一般的だが、ネットワークアカウント停止のタイミングといったロジック的セキュリティの管理は時に見落とされることがある。

物理的セキュリティとロジック的ITセキュリティの融合

　支出を増やすことなくセキュリティ全般の管理を向上させる1つの手段は、物理的セキュリティチームとロジック的セキュリティチームを融合することだ。リソースが限られ、パスワードをメモした付せんやセキュリティがかけられていないノートPC、USBメモリといったものがはんらんする中で、コンプライアンスの強制は常に難題だった。

　そこで、以前から構内や施設内をパトロールしている物理的セキュリティチームをもっと有効に活用しない手はない。パトロールしながら机の片付けやサーバルームの適切なセキュリティ確保といった情報セキュリティポリシー順守に目を光らせ、違反があれば報告するよう教えるのは容易だ。夜間警備に無線探知器（高いものでも数百ドル程度）を持たせれば、悪質無線ルータを見つけ出すことが可能になる。こうした措置を取れば、ほぼ毎日セキュリティコンプライアンスが確認できる。ITセキュリティチームがロジックだけでなく物理的にも存在していることを、従業員はすぐに認識するだろう。違反者に対し啓発のための研修を課すことで意図は確実に伝わる。このアプローチならば、比較的低コストで実質的な守りを実現できる。

　物理的セキュリティ要員との連携を強めれば、情報セキュリティチームは両方のシステムのセキュリティ潜在力を最大限に生かし、物理上の資産とロジック上の資産を守ることができる。例えば、多数の組織からのスタッフにはIDカードの携帯を義務付ける。そのカードをシングルサインオンにも利用すれば、2要素認証を使って物理的リソースとロジック的リソースへのアクセスポリシーを中央で確立・強制する手段になる。セキュリティを担当する2つのチームは相互の職務を補完・補強し、多数のポリシーや規制のコンプライアンス強化を達成できる。そのこと自体が価値ある目標なのだ。

　2009年はあらゆる組織がスリム化、低コスト化に力を入れ、セキュリティが最優先課題になることはないだろう。大切なのは、情報セキュリティチームがそれを理解しておくことだ。さもなければ、いら立ちと失敗は目に見えている。しかし、規模縮小とリストラの中で避けることのできない変化を利用すれば、情報セキュリティの重要性を伝えられる手段は多数ある。変化は、新しいビジネスプロセスにセキュリティを組み込む機会と、セキュリティがないがしろにされたり省かれたりする文化を排するチャンスを与えてくれる。

本稿筆者のマイケル・コッブ氏は、データセキュリティおよび解析に関するトレーニングやサポートを提供するITコンサルティング会社、Cobweb Applicationsの創業者兼マネージングディレクター。CISSP-ISSAP（公認情報システムセキュリティプロフェッショナル―情報システムセキュリティアーキテクチャプロフェッショナル）の資格を持つ。共著書として『IIS Security』があり、主要なIT出版物に多くの技術記事を寄稿している。

印刷する