限られた予算で必要なセキュリティ対策を確保する方法

　これまでの連載で説明してきた、適切なセキュリティ予算を獲得するための方法をまとめると、以下のようになる。

• 昨今の組織が考慮すべき脅威やリスクを踏まえ、攻撃シナリオに基づいた適切なセキュリティ対策を選定する
• その過程でセキュリティ対策の全体像を俯瞰しながら、リスクに応じてセキュリティ機能を多層的に組み合わせる
• セキュリティ予算をひとくくりで考えるのではなく、目的に応じて分類し、目的に応じた説明や評価、主たる説明責任の所在を明らかにする

　これらを参考にすれば、セキュリティ予算の獲得確度を高めることができる。ただしセキュリティに対する考え方には組織文化の影響が大きく、予算獲得は一筋縄ではいかないのも事実だ。ここからは、適切なセキュリティ予算が満額得られなかった場合の、セキュリティ対策の優先順位の考え方に触れておく。

　昨今のセキュリティ対策は、大きく以下の3種類に分類できる。

1. 法的要請・業界慣習に起因する対策
2. 現状のセキュリティ対策の更改・更新が必要な対策
3. 新たなリスク評価により必要と判断された対策

　1つ目の「法的要請・業界慣習に起因する対策」は原則として必須の対策であり、最優先で取り組む必要がある。ビジネスの継続には、法令順守や業界慣習への準拠は不可欠だ。違反が発覚した場合、風評被害を含め、その影響は甚大となる。この1つ目の対策には、ファイアウォールやウイルス対策、セキュリティ修正プログラムの適用といった初歩的な対策のみならず、ログの相関分析といった高度な対策が含まれることもある。法令や業界慣習に関連する文書をしっかりと読み解くことが不可欠だ。

　セキュリティ対策の優先度を決めることは、実質的には与えられた予算から1つ目の対策に必要な額を引いた、残りの予算をどう分配するかを決めることだ。通常はセキュリティ対策の現状からの劣化は認められない。そのため2つ目の「現状のセキュリティ対策の更改・更新が必要な対策」に高い優先度を付与することになりがちだ。だが、ここに落とし穴がある。

　現状のセキュリティ対策を検証なく踏襲すれば、リスクに応じた対策に必要な予算を捻出できない可能性がある。リスクを認識していたにもかかわらず、結果的に放置することになりかねないわけだ。2つ目と、3つ目の「新たなリスク評価により必要と判断された対策」の中で優先度を設定する場合は、あくまでも残存しているリスクと、組織が許容できるリスクに応じて決定する必要がある。

　現状踏襲を是としないアプローチには賛否が分かれる。セキュリティ担当者は、目まぐるしく変わるセキュリティ脅威やリスクの現状を丁寧に説明した上で、リスク分析の評価に基づく優先度を設定する必要がある。後回しにしたセキュリティ対策の残存リスク、その対策の代替可否、代替方法の整理・説明も求められる。

　セキュリティ業界における人材の不足は、当面続きそうな様相だ。個別の技術対策を導入し続けることは、その運用を複雑化し、運用に必要な要員の増加を加速しかねない。リスクに応じた対策の導入と合わせて、セキュリティ運用の集約や標準化といったインフラ関連の予算も、意識的に確保することが重要になる。標準化は運用手順といったドキュメントの整備にとどまるのではなく、省力化と品質向上の両立を見据えた中長期的なロードマップ策定まで進めるべきだと提言する。定型作業を自動化する「RPA」（ロボティクスプロセスオートメーション）や人工知能（AI）技術などの組み合わせが、その具体策となり得る。

　3回にわたる本連載が、適切なセキュリティ対策、適切なセキュリティ予算獲得を進める上で少しでもヒントとなり、国内組織の安心・安全な事業環境の創出に貢献できれば幸いだ。

藤井仁志（ふじい・さとし）

EYアドバイザリー・アンド・コンサルティング　サイバーセキュリティ／Co-Lead　パートナー

グローバルコンサルティングファームにてセキュリティプラクティスの日本リードを務め、ガバナンスを中心としたアドバイザリーサービスだけでなく、システム導入、システム運用までをカバーし、机上にとどまらない実現性の高いサービスを提供。金融機関、中央省庁、運輸業といった重要インフラ関連事業から製造業、小売業までの多様な業態に対して、セキュリティ診断、セキュリティ体制構築、システム導入、運用変革まで幅広く支援した実績を有する。特にマイナンバー（社会保障と税の共通番号）や、金融機関などの大規模マルチベンダー環境におけるシステム導入プロジェクトの統括技術責任者、セキュリティ責任者としての豊富な経験を有する。2017年8月にEYアドバイザリー・アンド・コンサルティングに参画し、サイバーセキュリティ事業の日本共同責任者を務める。セキュリティベンダー主催のカンファレンス、メディア主催のイベントなどでの講演、ソートリーダーシップ（Thought Leadership）としての寄稿多数。公認情報システムセキュリティプロフェッショナル（CISSP）。公認情報セキュリティマネージャー（CISM）。情報処理安全確保支援士集合講習認定講師。