賢い「セキュリティ予算」獲得術【第3回】

「セキュリティ予算」の“満額獲得”方法と、交渉戦術（1/2 ページ）

「適切なセキュリティ予算」をどう見積もるべきかは分かった。実際に獲得するには、どう考え、どう行動すべきなのか。獲得できなかった場合はどうすればよいのか。勘所をまとめた。

公開 2018年04月27日 13時30分

著者

藤井仁志

[EYアドバイザリー・アンド・コンサルティング]

印刷する連載新着通知を受け取る

　連載第2回「『適切なセキュリティ予算』はどのように見積もればよいのか？」で解説した通り、セキュリティ予算はその性質上、個別の技術要素だけを切り出すと獲得が難しくなる。具体的な攻撃シナリオに基づいてリスクを分析し、必要な対策の全体像を俯瞰（ふかん）的に整理した上で、その結果に基づいてセキュリティ予算を見積もることが重要だ。

　最終回となる今回は、適切なセキュリティ予算を獲得するための具体的な方法を見ていく。加えてセキュリティ予算の満額獲得が難しい場合、限られた予算を効果的に使うために、セキュリティ対策の優先順位をどのように付けるべきなのかを説明する。

併せて読みたいお薦め記事

賢い「セキュリティ予算」獲得術

セキュリティ予算の実態

「適切なセキュリティ予算」の獲得方法

　適切なセキュリティ予算の獲得方法を考える前に徹底すべきなのは、あらゆるセキュリティ予算をひとくくりにして考えないことだ。目的に応じて、セキュリティ予算は幾つかの種類に分類できる。目的が異なれば、当然ながら獲得に向けた予算承認者への説明事項や評価指標も異なる。

　セキュリティ予算は他のIT予算と同じように、以下の4種類に分類できる。

インフラ関連
業務関連
戦略関連
情報関連

　この4つの分類について詳細に示したのが、以下の表だ。

表　セキュリティ予算の分類例
分類	インフラ関連	業務関連	戦略関連	情報関連
目的	・コンプライアンス・ITコストの削減・IT環境の標準化・ITの柔軟性・機敏性の獲得	・業務処理時間やスループットの改善・業務コストの削減	・新たな事業提携機会の獲得・安心／安全の提供による競争優位性の獲得	・事業リスクの正確な把握・サービス品質の改善
案件例	・ネットワーク分離・ログ収集・ファイアウォール・IDS／IPS（注1）・ウイルス対策	・SSO（注1）・ID／アクセス管理・CASB（注1）	・二要素認証・DDoS（注1）攻撃対策・ISMS（注1）、PCI DSS、SOC 2（注1）などのセキュリティ認証取得	・SIEM（注1）・セキュリティインテリジェンス（注3）・サンドボックス（メール／Web）・EDR（注1）
予算獲得のための説明事項	・法的要請事項や業界慣習の充足度	・期待できる利便性向上の効果・導入事例	・対象範囲を限定したパイロットプロジェクト実施後の、本展開可否の判断結果	・軽減可能なリスクやそれらが残存する際の影響、改善可能なサービス品質・導入事例
評価指標	・投資額	・投資回収期間（注2）	・パイロットプロジェクトのKPI（注1）達成状況	・残存リスクや改善可能なサービス品質に関して、事前に定義した期待する効果の達成状況
主な説明担当	・セキュリティ担当者	・情報システムのユーザー部門	・情報システムのユーザー部門	・セキュリティ担当者

※注1：各略語の正式名称や意味は次の通り。IDS：侵入検知システム、IPS：侵入防御システム、SSO：シングルサインオン、CASB：Cloud Access Security Broker、DDoS：分散型サービス停止、ISMS：情報セキュリティマネジメントシステム、SOC 2：Service Organization Control 2、KPI：重要業績指標、SIEM：セキュリティ情報イベント管理、EDR：エンドポイント脅威検知・対処。

※注2：短縮できる業務処理時間を金銭価値に換算して算出。

※注3：脅威インテリジェンス、CTI（Cyber Threat Intelligence）とも。

　各セキュリティ予算の目的によって、獲得のために必要となる説明事項や、主な説明担当は異なる。インフラ関連や情報関連の予算については、その目的を考慮するとセキュリティ担当者が説明すべきだ。業務関連や戦略関連の予算は、セキュリティ担当者がサポートする必要はあるものの、情報システムのユーザー部門である業務関連や戦略関連の担当者の方が適切に説明できる。

　「セキュリティ予算＝セキュリティ担当者が獲得すべきもの」とひとくくりにせず、案件の目的に照らし、組織内の最適な説明者と連携して、予算を確実に獲得する取り組みを始めることが求められる。そのためにもセキュリティ担当者は、自らの専門領域に閉じこもることなく、組織内のあらゆる部門とコミュニケーションを取るべきだ。セキュリティ対策が必要となる背景やセキュリティ周辺の技術情報に関して、組織内の理解を深めていくことが、強く求められる。

コラム：「セキュリティ対策を強化しない」はあり得ない

　連載第1回「『セキュリティ予算不足』はなぜ解消されないのか？　調査結果から探る」では、国内組織の気になる意識・文化の例として「丸投げ」「人ごと意識」「先送り」の3点を挙げた。セキュリティ対策の導入や推進において、これらの壁に突き当たった経験のあるセキュリティ担当者は少なくないだろう。

　リスクをいかに精緻に特定し、分析し、評価して、その結果から必要なセキュリティ予算を見積もっても、そのリスクが本当に顕在化するかどうかは分からない。「セキュリティ対策を強化しても、売り上げや利益の増加に貢献しない」といった声に抑え込まれ、適切なセキュリティ予算の獲得に失敗してしまう組織は少なくない。こうした事態に何度も直面してしまったセキュリティ担当者は、士気が下がり、セキュリティ強化に本気で取り組もうとしなくなってしまう可能性がある。

　「セキュリティリスクは顕在化しない」と信じ切れるのであれば、リスク管理上の選択肢として「セキュリティ対策を強化しない」というアプローチもあり得るだろう。しかしながら、現実的にそれはあり得ない。

　最近では、ちょっとした失言がソーシャルメディアの“炎上”を招き、それをトリガーとして新たなサイバー攻撃に発展することがある。M＆A（買収・合併）や働き方改革のプロセスで組織の安定性が低下した隙を突き、内部不正を図る例もある。セキュリティリスクが顕在化するかしないかではなく、いつ顕在化するのか、そのときの影響がどの程度なのかを議論する状況だと認識すべきだ。

次ページへ限られた予算で必要なセキュリティ対策を確保する方法

印刷する

賢い「セキュリティ予算」獲得術

適切なセキュリティ製品を導入するにも、必要な予算が獲得できなければどうしようもない。だが足元を見ると、十分なセキュリティ予算が確保できている企業はむしろ少数派だ。世界的に見ても、国内企業はセキュリティ予算の獲得に苦慮しているという。その背景には何があるのか。そもそも「適切なセキュリティ予算」とは、どのように考えればよいのか。必要なセキュリティ予算を確実に確保するには、また限られた予算内で必要なセキュリティ対策を進めるにはどうすべきか。具体的に解説する。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

藤井仁志

グローバルコンサルティングファームにてセキュリティプラクティスの日本リードを務め、ガバナンスを中心としたアドバイザリーサービスだけでなく、システム導入、システム運用までをカバーし、机上にとどまらない実現性の高いサービスを提供。金融機関、中央省庁、運輸業といった重要インフラ関連事業から製造業、小売業までの多様な業態に対して、セキュリティ診断、セキュリティ体制構築、システム導入、運用変革まで幅広く支援した実績を有する。特にマイナンバー（社会保障と税の共通番号）や、金融機関などの大規模マルチベンダー環境におけるシステム導入プロジェクトの統括技術責任者、セキュリティ責任者としての豊富な経験を有する。2017年8月にEYアドバイザリー・アンド・コンサルティングに参画し、サイバーセキュリティ事業の日本共同責任者を務める。セキュリティベンダー主催のカンファレンス、メディア主催のイベントなどでの講演、ソートリーダーシップ（Thought Leadership）としての寄稿多数。公認情報システムセキュリティプロフェッショナル（CISSP）。公認情報セキュリティマネージャー（CISM）。情報処理安全確保支援士集合講習認定講師。