企業文化の転換が必要

“嫌われセキュリティ担当者”のままでいたくないなら、今何をすべきか？

セキュリティは重要だが、生産性を妨げかねないことから社内の理解を得にくい場合がある。セキュリティ対策を有効に進めるには、セキュリティに対する社内全体の意識を高めることが必要だ。

公開 2017年11月07日 05時01分

著者

Eddie Lockhart

[TechTarget]

印刷する

社内のセキュリティへの意識をどう高めるかが重要に

　企業内文化を転換すると、組織はエンドユーザーのセキュリティを最優先事項にできる。

　組織にとって、問題が起きてからセキュリティの問題に取り組むのでは遅過ぎる。だがスタートアップをはじめとする小規模企業では、セキュリティをつい見過ごしてしまうことが少なくない。セキュリティの確保が生産性の妨げになるからだ。IT部門にとって、従業員や意思決定者が、セキュリティを真剣に考えるような企業文化を作ることが大切になる。特にエンドユーザーのデータやデバイスに関するセキュリティの場合はなおさらだ。

　「セキュリティは明らかに後回しになっていた」。米サンフランシスコにある不動産会社Shorenstein Realty ServicesのITインフラストラクチャマネージャ、キーン・グリヴィック氏は、2017年10月開催のカンファレンス「BoxWorks 2017」で、自社のセキュリティ対策についてこう述べた。「結果として大きなセキュリティ侵害が見つかり、経営陣は絶対に（悪い話題で）新聞の見出しに社名が出ることのないよう、念入りに対策を講じた」

セキュリティを重視する企業文化の構築方法

　エンドユーザーのセキュリティ向上はまず、どのようなデータなら共有しても安全か、悪意あるWebサイトはどのようなものであるか、などのテーマに関する徹底的な訓練をすることから始まる。これによってエンドユーザーは自分のアクションに責任を持ち、特定の行動のリスクを理解するようになる。

　セキュリティが最優先事項であるという認識が浸透すれば、エンドユーザーは「ITセキュリティチームも会社の一員だ」と感じることができ、単にエンドユーザーに不便を与える存在ではないと理解できる。

　LinkedInの主任情報セキュリティ役員、コーリー・スコット氏は、セキュリティ担当者に次のように問い掛ける。「社内の奥の部屋で、セキュリティ巡回者の役目を果たしているだけか。それとも実際に事業の意思決定を支え、ビジネス志向の人材として尊敬されているか」

併せて読みたいお薦め記事

セキュリティ人材不足にどう対処するか

悩めるセキュリティ担当者

　セキュリティ担当者は、会社が自分たちの価値を認めてくれていると感じた場合、自社に貢献しようとする傾向にある。セキュリティ人材が不足している中で、才能ある人材の流出を防ぐことが鍵となる。

　セキュリティプロセスにエンドユーザーの関与を維持することは、セキュリティ対策を効率化する一助となる。例えばエンドユーザーが怪しいファイルへアクセスした場合、IT担当者はエンドユーザーのクライアントPCにロックをかける代わりに、エンドユーザーに対して何か特定の操作をしたかどうかを確認するメッセージを送信できる。エンドユーザーが「そのファイルへアクセスした」と言えば、IT担当者は、誰かがそのエンドユーザーになりすましているのではないことが分かる。「そうではない」と言えば、IT担当者は何らかの侵入者があったと認識し、対処の必要があると分かる。

　エンドユーザーのセキュリティを常に最優先事項とするためには、エンドユーザー自身で簡単にパスワードを変更できるような仕組みを構築することが重要だ。さらにIT部門は、開発者が開発しているアプリケーションにも適用できるセキュリティのフレームワーク（ライブラリやテンプレートなどからなるコード／規約群）を構築することによって、開発者がセキュリティを簡単に適用できるようになる。

　可能であれば、従業員がセキュリティ事故を起こした際に、責任追及をしないアプローチを取ることもお勧めだ。「責任追及をすることは、学びを完全に阻害する行為だ」と、Cisco Systemsでクラウドセキュリティ事業を統括するエンジニアリング役員、ブライアン・ロディ氏は語る。「エンドユーザーがより素早く学習すればするほど、IT部門はより良い対処が可能となる」