何もしないでいることは、小切手を切ることよりも悪いのだと顧客を納得させなければならない。セキュリティ投資の主な収益源は生産性だ。従業員が気を散らすことなく、秩序立ったプロセスに従って日常業務をこなせば、生産性は大きく向上する。例えばWebフィルタリングなどのユーザー監視ソフトを導入すれば、ユーザーが勤務時間中に会社のために生産的に働いていることを確認できる。

　もう1つの例としては情報流出防止が挙げられる。チェックを受けない文書がネットワークを出入りできないようにすれば、文書を探すのに費やす時間と、その文書のセキュリティ状況を確認するのに費やす時間は大幅に減る。IT監査やコンプライアンス監査では、このプロセスに相当の時間と経費が掛かることもある。セキュリティのそのほかのROIとしては、営業活動の25％向上、取り立ておよび工業生産の大幅な増加など多岐にわたる。

　情報セキュリティ製品とサービスを売り込む際は、その製品やサービスを導入しないことによって発生し得るリスクあるいは目に見える損失にも着目し、そうした潜在的損失の数値化を図る必要がある。顧客が知的財産あるいは信用を失い、重要な提携を解消された場合に生じるコストの計算を手伝う。支払いを命じられる罰金について調べ、訴訟経費や和解経費をはじき出す。保険料が上がることに言及するのも忘れてはならない。

不安と抵抗への対処

　セキュリティ戦略によって政治的混乱が生じたり、社員から苦情が出ることもあり、顧客がこうした事態に対応する手助けも必要だ。社員の政治問題に対処する1つの方法は、自分たちの仕事を守り、生産性を上げるための戦略に社員を巻き込むことだ。信じられないかもしれないが、セキュリティへの参加には「セクシーさ」がある。社員にかかわってもらい、誇りを持って自分の関与を口にするようになってもらえれば、抵抗は大幅に減り、同僚を説得してくれる社員さえ現れるかもしれない。

　恐怖、不安、疑念（FUD）は契約を成立させることもあれば、だめにすることもある。顧客は即座に、セキュリティソリューションプロバイダーが製品を売り込むためにFUDを利用していると批判するかもしれない。わたしの経験では、これは顧客、特にIT担当者の最後の抵抗だ。彼らは「このコンサルタントは脅そうとしているだけだ」と言い合っているかもしれない。

　しかしFUDには、あらゆるビジネスパーソンからリスク管理者の側面を引き出す強力な作用もある。わたしのコンサルティングとプレゼンテーションでは、導入部分でこれを持ち出す。例えば「ここは法治国家だ。わたしは必ずしも同じ意見とは限らないが、わたしを嫌ったところでそのことは変わらない」「わたしは専門家であり、毎日これをやっているが、それでも恐怖、不安、疑念はある。あなたにそれがないのなら、持っておいた方がいい」と話す。これで顧客の恐怖と不安を共有できる。

　そして次に、相手と同じくらいの規模の中堅・中小企業で起きた悲劇的な情報セキュリティ事件の実例を挙げる。顧客が順守すべき法令と、順守できなかった場合に科せられる罰金に目を向けさせる。何も問題はなく心配する必要はないという共通の心理を打ち破る心積もりでいることだ。システムにパッチを当てることは、ネットワーク内部の最も基本的なセキュリティ対策だ。しかし同時に最も敬遠され、最も管理効率の悪いITプロセスでもある。

　パッチの適用状態について顧客に尋ねてみよう。最新のパッチが適用されていないことに賭けてもいい。わたしの経験では、これは極めて安全な賭けだ。パッチの一覧を作成して達成度を測る指標として使い、隠れた大きな問題があること、IT部門は考えていたほど何もかもうまくやっているわけではないことを、意思決定者に理解してもらおう。

顧客とのコミュニケーション

　顧客とのコミュニケーションの取り方には注意した方がいい。これみよがしの略語を使って自分の知識を吹聴しようとしないこと。相手を気遣っているのではなく、自分の方が上だと思っている印象を与えてしまったら負けだ。相手を触発して行動を起こさせるか、少なくとも自己を保ってもらわなければならない。言葉には出さないが大きな抵抗要因として（この克服が最も難しいこともある）おびえの要因もある。特にセキュリティとコンプライアンスはいずれも深い知識とノウハウを必要とするため、これが原因で多くは萎縮してしまって何もしない。

　顧客は多くの場合、理解できるだけの時間も能力もないと感じている。それを克服する手助けをしないまま、この意識を放置すれば、セキュリティ契約は獲得できないか、できても長続きはしないだろう。不安をコントロールする手助けができれば、コンサルタントとしての関係を築いて長い付き合いができるはずだ。

　何よりも、自分が顧客とその会社のことを気に掛けているのだと分かってもらわなければならない。もしも自分の動機に疑問を持たれたり、誠実に目標達成を支援する気持ちがあると信じてもらえなかったりすれば、助言に耳を傾けてはもらえない。時間をかけて、顧客の考えやセキュリティに対する理解について話を聞く。それが複雑で、多少の怖さがあることは自分も分かっていると伝える。そして顧客のIT環境がよりセキュアになる手助けをし、セキュリティ戦略のリーダーになってもらうために自分がいるのだという姿勢を示すことだ。

本稿筆者のケビン・B・マクドナルド氏は、米ネットワークサービス・セキュリティ大手Alvaka Networksの取締役副社長兼コンプライアンスプラクティス担当ディレクター。コンサルティング分野は先端技術、物理的・理論的セキュリティ、コンプライアンス、組織の発展など多岐にわたる。現在の役職はHIPAA（医療保険の相互運用性と説明責任に関する法律）のプライバシー・セキュリティ専門家、CompTIA HITのAdvisory Council委員など。全米と各地のメディアで寄稿あるいはインタビューを受け、著書に小説『Practically Invisible』（Rebel's Domain Publishing刊）がある。