賢い「セキュリティ予算」獲得術【第2回】

「適切なセキュリティ予算」はどのように見積もればよいのか？（1/2 ページ）

セキュリティ予算が不足しているかどうかは、適切なセキュリティ予算が何かを把握しなければ厳密には判断できない。では「適切なセキュリティ予算」とは、そもそも何なのだろうか。

公開 2018年04月19日 05時00分

著者

藤井仁志

[EYアドバイザリー・アンド・コンサルティング]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

セキュリティ予算の基本的な考え方を整理

　第1回「『セキュリティ予算不足』はなぜ解消されないのか？　調査結果から探る」では、グローバル組織と国内組織を対比しながら、セキュリティに対する予算の獲得状況や、十分な予算獲得を阻む要因について概観した。

　第2回では「適切なセキュリティ予算」とは具体的に何であり、どのように考えるべきなのかを整理する。第1回に続き、グローバルと国内の組織を対象にした情報セキュリティ調査「EYグローバル情報セキュリティサーベイ」（GISS：EY Global Information Security Survey）の最新版（以下、GISS2017-18）の結果を参考にした。

併せて読みたいお薦め記事

賢い「セキュリティ予算」獲得術

「セキュリティ予算不足」はなぜ解消されないのか？　調査結果から探る

セキュリティ予算の実態

「適切なセキュリティ予算」の基本的な考え方

　適切なセキュリティ予算とは、適切なセキュリティ対策の導入や運用に必要となるお金のことだ。では「適切なセキュリティ対策」とは何を指すのだろうか。これを考えるには、まず組織が対処すべきセキュリティのリスクについて考える必要がある。具体的には、情報セキュリティマネジメントシステム（ISMS）などのセキュリティガイドラインが提唱する以下の手順を踏むことになる。

何を守るのかを整理する「リスクの特定」
どのような脅威・リスクから守るのかを整理する「リスク分析」
リスク分析の結果に基づく必要な対策を踏まえた上での「リスク評価」

　それぞれの手順での勘所を説明する。

リスクの特定

　リスクの特定は、情報資産を洗い出して各資産の管理責任者を特定し、各資産の損失や損害を引き起こす脅威と、各資産に潜む脆弱（ぜいじゃく）性を明確化することを指す。組織は各資産のリスクを特定し、そのリスクに応じたセキュリティ対策を取り、組織が許容できる基準にまでリスクを抑えることになる。

　情報資産や、そのリスクの特定は容易ではない。コピーや加工の容易さから情報資産の“亜種”が散在しやすいこと、情報資産の価値が時間とともに変化することが、その主な原因だ。情報資産やリスクを十分に特定できていないと、情報資産の区分によらずにセキュリティ対策を検討しなければならなくなり、セキュリティ予算が膨らむ一因になる。時間軸も加味した上で、情報資産とその価値の変化を精査することが求められる。

リスク分析

　リスク分析は、リスクの発生頻度とリスクが顕在化した際の影響度を分析することだ。リスクの発生頻度と影響度は、以下に示す情報セキュリティの3要素「機密性」「完全性」「可用性」のそれぞれに対して定義する。

機密性
- 認められた人だけが情報資産を利用できるようにすること
完全性
- 情報資産が不正に変更されないようにすること
可用性
- 必要なときに情報資産を利用できるようにすること

　どのレベルまでのリスクを挙げればよいのか分らないまま、思い付くままリスクを挙げてしまっている例をよく目にする。こうした状況を招かないための対策は、攻撃者を理解することだ。架空の攻撃者像である「ペルソナ」（表）を定義し、各ペルソナについて以下の項目を整理する。ペルソナが明確であれば、考慮すべきリスクが明確になりやすい。

攻撃の動機（攻撃目的、攻撃対象）
スキルレベル
攻撃シナリオ

表　攻撃者のペルソナの一例
	愉快犯	個人的利益狙い	組織的犯罪者	テロリスト
攻撃の動機	・好奇心の充足・出来心	・金銭獲得（注3）・成功するまでのスリル	・金銭獲得（注3）・名声獲得・新技術情報の獲得	・イデオロギー（政治的、社会的思想）の主張・国家に対する挑戦
スキルレベル	・初歩的なスクリプトキディ（注1）程度・インターネットの情報を収集し、それらを試すことが可能・闇市場（注2）との関係は希薄	・コンピュータサイエンスの学士号取得程度・業界ニュースを熟読し、そこから攻撃手法を編み出すことが可能・闇市場（注2）との関係は希薄	・コンピュータサイエンスの学士号取得程度・高度なシステムの開発（特にプログラミング）やチームマネジメントを経験・闇市場（注2）との関係を日常的に維持	・コンピュータサイエンスに関する修士号または博士号取得程度・コンピュータ以外に武器や弾薬などの扱い方も理解・闇市場（注2）との関係を日常的に維持

※注1：他人が作ったツールを使って不正行為を試みる攻撃者。

※注2：一般的な検索エンジンからは検索できず、アクセスするのに特別な権限や設定、ソフトウェアが必要なWebサイト群「ダークWeb」などを利用して金品を取引する市場。

※注3：ランサムウェア（身代金要求型マルウェア）や奪取した個人情報の転売によって不正に金銭を取得。

　攻撃シナリオの網羅性を確保する上で役立つのが、脅威動向をまとめた以下のような資料だ。策定した攻撃シナリオと、これらの資料が言及する脅威動向を比較して、抜けや漏れを確認する。完璧な網羅性を求めて膨大な時間を要しても、かけた時間だけセキュリティ効果が高まるわけではない。組織の特性に応じた“割り切り”も大切となる。

情報処理推進機構（IPA）が毎年発行している「情報セキュリティ10大脅威」
警察庁のサイバー空間に関する広報資料
業界団体OWASP（Open Web Application Security Project）による、Webアプリケーションの重大リスク10件を紹介した「OWASP Top 10」
セキュリティベンダーや通信事業者などによる動向分析レポート

リスク評価

　リスク評価では、まず前述したリスク分析の結果と、組織が許容できるリスクの基準を比較する。その上で許容できる基準を超えているリスクに対して、基準内に収めるために必要なセキュリティ対策と、その優先順位付けをする。

　組織がリスク評価を進める上で難しいのは、リスクを許容できる基準の定義と、必要なセキュリティ対策の検討だ。

　基準を定義する際のハードルとなるのが、他社の具体的な対策状況を参考にしにくいことだ。セキュリティ対策に関する情報を公開することへの根強い抵抗が、その背景にある。有効な対策として、一般公開されたノウハウをうまく活用することが挙げられる。セキュリティ団体への加盟とそこでの情報共有が、その代表例だ。主要なセキュリティ団体を以下に示す。加えてセキュリティに関する知識を持つ民間組織（コンサルティング会社やシステムインテグレーターなど）のサービスの活用も有力な手段となる。

日本シーサート協議会（日本コンピュータセキュリティインシデント対応チーム協議会）
- 各組織のCSIRT（インシデント対応チーム）間の連携を図る組織
各種ISAC（アイザック：情報共有・分析センター）
- 業種別のセキュリティ情報共有組織（金融ISAC、ICT-ISACなど）
CEPTOAR（セプター：IT障害に関する情報共有・分析機構）
- IT障害に関する官民の情報共有や連携の仕組み

　一方のセキュリティ対策は、他の対策との整合性をいかに保ち、不足や重複をいかに必要最小限に抑えるかが課題となる。システム構成図に対策をマッピングするだけでは不十分だ。まずはリスク分析で整理した攻撃シナリオについて、攻撃プロセスを細分化した「サイバーキルチェーン」の考え方を参考に、「検知」「防御」「被害抑止・復旧」といった各攻撃プロセスに必要な対策を整理する。その上で対策の俯瞰（ふかん）図を作成し、この中で対策の導入や運用におけるユーザー組織側とベンダー側の責任分界点を整理する。

次ページへ現実的な「適切なセキュリティ予算」の見積もり手法

印刷する

賢い「セキュリティ予算」獲得術

適切なセキュリティ製品を導入するにも、必要な予算が獲得できなければどうしようもない。だが足元を見ると、十分なセキュリティ予算が確保できている企業はむしろ少数派だ。世界的に見ても、国内企業はセキュリティ予算の獲得に苦慮しているという。その背景には何があるのか。そもそも「適切なセキュリティ予算」とは、どのように考えればよいのか。必要なセキュリティ予算を確実に確保するには、また限られた予算内で必要なセキュリティ対策を進めるにはどうすべきか。具体的に解説する。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

藤井仁志

グローバルコンサルティングファームにてセキュリティプラクティスの日本リードを務め、ガバナンスを中心としたアドバイザリーサービスだけでなく、システム導入、システム運用までをカバーし、机上にとどまらない実現性の高いサービスを提供。金融機関、中央省庁、運輸業といった重要インフラ関連事業から製造業、小売業までの多様な業態に対して、セキュリティ診断、セキュリティ体制構築、システム導入、運用変革まで幅広く支援した実績を有する。特にマイナンバー（社会保障と税の共通番号）や、金融機関などの大規模マルチベンダー環境におけるシステム導入プロジェクトの統括技術責任者、セキュリティ責任者としての豊富な経験を有する。2017年8月にEYアドバイザリー・アンド・コンサルティングに参画し、サイバーセキュリティ事業の日本共同責任者を務める。セキュリティベンダー主催のカンファレンス、メディア主催のイベントなどでの講演、ソートリーダーシップ（Thought Leadership）としての寄稿多数。公認情報システムセキュリティプロフェッショナル（CISSP）。公認情報セキュリティマネージャー（CISM）。情報処理安全確保支援士集合講習認定講師。

	愉快犯	個人的利益狙い	組織的犯罪者	テロリスト
攻撃の動機	・好奇心の充足・出来心	・金銭獲得（注3）・成功するまでのスリル	・金銭獲得（注3）・名声獲得・新技術情報の獲得	・イデオロギー（政治的、社会的思想）の主張・国家に対する挑戦
スキルレベル	・初歩的なスクリプトキディ（注1）程度・インターネットの情報を収集し、それらを試すことが可能・闇市場（注2）との関係は希薄	・コンピュータサイエンスの学士号取得程度・業界ニュースを熟読し、そこから攻撃手法を編み出すことが可能・闇市場（注2）との関係は希薄	・コンピュータサイエンスの学士号取得程度・高度なシステムの開発（特にプログラミング）やチームマネジメントを経験・闇市場（注2）との関係を日常的に維持	・コンピュータサイエンスに関する修士号または博士号取得程度・コンピュータ以外に武器や弾薬などの扱い方も理解・闇市場（注2）との関係を日常的に維持

「適切なセキュリティ予算」はどのように見積もればよいのか？（1/2 ページ）

併せて読みたいお薦め記事

賢い「セキュリティ予算」獲得術

セキュリティ予算の実態

「適切なセキュリティ予算」の基本的な考え方

リスクの特定

リスク分析

リスク評価

賢い「セキュリティ予算」獲得術

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

「適切なセキュリティ予算」はどのように見積もればよいのか？（1/2 ページ）

併せて読みたいお薦め記事

賢い「セキュリティ予算」獲得術

セキュリティ予算の実態

「適切なセキュリティ予算」の基本的な考え方

リスクの特定

リスク分析

リスク評価

賢い「セキュリティ予算」獲得術

この記事の著者

関連記事

「セキュリティ予算不足」はなぜ解消されないのか？ 調査結果から探る

情報セキュリティ予算は増加傾向だが6割は「年間予算無し」――IDC調査

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

「セキュリティ予算不足」はなぜ解消されないのか？　調査結果から探る