希薄な現状認識や“人ごと意識”がセキュリティ予算獲得を阻害

　GISS2017-18で、国内組織とグローバル組織との違いが顕著に現れたのが、自らが直接の痛みを伴わないサイバー攻撃に対する捉え方だ。「セキュリティ予算増額のトリガー（きっかけ）となる可能性がかなり低いイベント」は何かを聞いたところ、「サプライヤーに対するサイバー攻撃」を挙げたのが、グローバル組織では23％なのに対し、国内組織では41％と4割以上に上った（図2）。「主要な競業他社に対するサイバー攻撃」を挙げたのが、グローバル組織では21％なのに対し、国内組織では32％だった。

図2　セキュリティ予算増額のトリガーとなる可能性がかなり低い（0％～19％）イベント（出典：GISS2017-18、数値は小数点以下第1位で四捨五入）

　インターネットを介して複数の組織や個人が密接に結び付く中、セキュリティ予算や必要な対策の不備は、その組織だけの問題とは言い切れなくなった。その組織が管理するシステムを乗っ取られて、他の組織への攻撃に加担してしまう可能性を高めることになるからだ。現状を正確に把握して適切な対策を講じなければ、こうしたリスクを低減することは難しい。

　昨今のサイバー攻撃は、十分な資金、高度な知識・技術を持つ人材を組織的に活用し、効率的にその目的を達成しようとしていることは、もはや周知の事実だ。この認識でも、グローバル組織と国内組織との間では顕著な違いがある。GISS2017-18の「サイバー攻撃を行うのは誰か」という問いへの回答に「単独のハッカー」を挙げたのは、グローバル組織では39％だったのに対し、国内組織では57％に上ったのだ。

　国内組織の意識や文化にも気になる点がある。国内組織の中には、IT部門やITベンダーに対して、情報システムの構築を“丸投げ”してしまうところがある。それはセキュリティ対策でも同様だ。背景には「誰かが必要な対策をしてくれるだろう」という、暗黙の“人ごと意識”がある。合議による意思決定を重んじることもあり、特に顕在化していないリスクへの対処を“先送り”する傾向もある。こうした意識が、十分なセキュリティ対策の実施、ひいてはセキュリティ予算の獲得を難しくしている一因だといえる。

セキュリティの基本的な目的に立ち返る

　セキュリティ予算の位置付けに関しては、組織や人によって、投資と見なすべきか、費用と見なすべきかといった意見の違いがある。個人情報保護法や業界別の法制度、商慣習で規定されているセキュリティ対策の要求事項が曖昧で、やるべき事項が明確でないといった議論もある。

　いずれにしても「組織の活動における安心・安全を確保する」という、セキュリティ対策の根本的な目的は揺るがない。その当たり前の視点をあらためて認識し、誰が何のために安心・安全を脅かすのかを正しく把握することが、適切なセキュリティ対策、適切なセキュリティ予算を考える上での基本になる。

　次回は攻撃者の特性を踏まえた、セキュリティ対策と予算獲得の具体策を検討する。

藤井仁志（ふじい・さとし）

EYアドバイザリー・アンド・コンサルティング　サイバーセキュリティ / Co-Lead　パートナー

グローバルコンサルティングファームにてセキュリティプラクティスの日本リードを務め、ガバナンスを中心としたアドバイザリーサービスだけでなく、システム導入、システム運用までをカバーし、机上にとどまらない実現性の高いサービスを提供。金融機関、中央省庁、運輸業といった重要インフラ関連事業から製造業、小売業までの多様な業態に対して、セキュリティ診断、セキュリティ体制構築、システム導入、運用変革まで幅広く支援した実績を有する。特にマイナンバー（社会保障と税の共通番号）や、金融機関などの大規模マルチベンダー環境におけるシステム導入プロジェクトの統括技術責任者、セキュリティ責任者としての豊富な経験を有する。2017年8月にEYアドバイザリー・アンド・コンサルティングに参画し、サイバーセキュリティ事業の日本共同責任者を務める。セキュリティベンダー主催のカンファレンス、メディア主催のイベントなどでの講演、ソートリーダーシップ（Thought Leadership）としての寄稿多数。公認情報システムセキュリティプロフェッショナル（CISSP）。公認情報セキュリティマネージャー（CISM）。情報処理安全確保支援士集合講習認定講師。