認めたくはないが、金融サービス業界では、セキュリティ支出の大部分を依然としてコンプライアンスが占めている。コンプライアンスは重要であり、規制当局には誰も逆らえない。プロアクティブなセキュリティ対策への移行においてこのことを利用するコツは、副次効果としてコンプライアンスにも役立つ管理対策を意図的に設計することだ。コードレビューエンジンによってコードが改良され、規制当局からの評価にもプラスになれば、成功といえる。

　また、現在のアプローチの効率を高め、浮いた予算で対策を拡充することも常に可能だ。だが、この取り組みは、潜在的な脅威に先手を打つことで向上させることができる。前述した「不正コードの検出」の取り組みに関していえば、現在、ほとんどの金融サービス企業は世界中の国々にオフショア開発チームを擁しているだけに、非常に理にかなっている。

社内および社外へのメッセージ

　今日のCSO（最高セキュリティ責任者）は、自社のセキュリティ管理対策および計画を対外的に説明できることも、それらの社内マーケティングと同じくらい重要であることをよく知っている。今では、DDoS攻撃などをはじめ、さまざまなセキュリティの脅威がニュースをにぎわせている。あなたの会社のビジネスステークホルダーから、セキュリティに関する質問が出始めたら、また、大口顧客からセキュリティ担当役員に、取締役会でプレゼンテーションを行ってほしいという依頼が来始めたら、あなたの会社はセキュリティに関する対外的な発信を強化しなければならない。

　その際、プロアクティブなセキュリティ対策は大きな差別化要素になる。セキュリティチームがこうした対策を行っていることを説明すれば、社内のビジネス部門と外部顧客は、セキュリティチームが複雑な問題に取り組んでいることを知って安心する。セキュリティチームが“火消し”モードではなく、「われわれはそれを予想していた。迫り来る嵐に備えてこのように準備してきた」といえる姿勢で活動していれば、信頼を勝ち取れる。

評価指標：KPIからKRIへ

　どんなセキュリティプラクティスも、データや指標には事欠かない。では、オペレーション担当役員が必要としているデータや指標をどのように提供すべきか。彼らのためにそれらをどのように加工すべきか。

　役員は、サーバのパッチ作業が行われる割合が80％ではなく、30％であることは知る必要がないだろう。役員が知る必要があるのは、「なぜ、あることが起こるのか」だけだ。すなわち、「ビジネス上のどのような意思決定が、結果を後押しするのか」「何と何がトレードオフの関係にあるのか」といった具合だ。

　KPI（重要業績評価指標）は、実行されている業務プロセスが健全かどうか、また、物事が効率面で改善されているかどうかを把握するのに役立つ。しかし、企業がセキュリティ対策において求めているのはKRI（重要リスク指標）であり、実はマシンの運用にしか役立たない一連の即物的な計器記録ではない。ときには、地域別や事業部門別にリスクを示すといった考え方が有効なこともある。これらの指標は規制当局にとっても有用なことが多い。

セキュリティ予報

　恐らく、自社のどの資産のリスクが高いかはお分かりだろう。プロアクティブなCSOは、セキュリティシステムなど最新のシステムから得られる膨大なデータを利用して、ビッグデータに基づく予測モデルを構築している。可視化、トレンディング、高度分析が、問題を顕在化する前に特定して対処するのに役立つ。これは、天気予報のセキュリティ版と考えられる。起こりそうなことについて予報が出たら、管理対策をより効率的に準備できるというわけだ。

　誰かに、「今日は傘を持っていくべき？」と聞かれたら、きっと答えられるだろう。プロアクティブなセキュリティ対策は、自社用のセキュリティ予報システムに発展させることができそうだ。

本稿筆者のゲイリー・マグロウ氏は、米セキュリティコンサルティング企業Citigalの最高技術責任者（CTO）。ソフトウェアセキュリティの世界的な権威としても知られ、関連書籍も多数執筆している。