1. 定義

　この段階での目標は、測定可能なイベントを特定することである。例えば、重要なデータが保存されているノートPCの盗難である。もう1つの例としては、紙ベースの情報リスク監査報告書が、（シュレッダーにかけられずに）くずかごに捨てられた場合なども考えられる。

2. 測定

　われわれは、測定を定義するのに用いる「単位」を決定した。何を測定し、どの単位を使用するかというのは、測定対象となるプロセスによってのみ決定される。例えば、フォレンジック検査であれば、復旧した情報または勝利した訴訟といった基準に基づき、「件数」あるいは金額によって測定できる。ノートPC盗難の例の場合は、件数あるいは金銭的価値（情報の価値とデバイス自体の価値）のいずれか、もしくは両方を用いて測定できる。

3. 分析

　われわれは、測定したイベントのビジネス価値を、CFOによる予算承認が必要なすべての項目（計画したセキュリティプロジェクトやスタッフの増員など）と照らし合わせて評価した。

　われわれは次に、法令順守違反のリスクについて検討した。さらに、他社の情報盗難リポートや法令順守違反リポートなどの社外の事例も活用した。これらは自社の事例ほどの説得力はなかったが、業務部門のスタッフとの議論でわれわれの主張の合理性の枠組みを提供するものとなった。筆者は、GoogleアラートやRSSフィードなどのツールを使って、こういた事例を毎日検索した。

　より大きな統計サンプルを作成するために、われわれはフリーウェアや市販のリスク評価ツールを使用した。注意しなければならないのは、フリーウェアツールはソフトウェアのコストという点では無料だが、それを習得するのに必要な時間は無料ではないということだ。実績のあるツールとしては、「NIST SP 800-30」（リンク先はPDF）「Octave」「OSSTMM」などがある。市販ツールは購入コストが掛かるが、一般にユーザーフレンドリーで、リポーティング機能が充実している。この分野で検討すべきベンダーは、リレーショナルセキュリティ（RSAM）とリスクウオッチだ。

　ITセキュリティデータの収集には、SEM／SIM（セキュリティイベント管理／セキュリティ情報管理）ツールを利用した。SEM／SIMはログとイベントの相関情報を提供する。イベントの相関関係については、1カ所で起きたイベントとほかの個所での補強証拠を関連付ける機能もある。これらのツールはクオリティの高いデータを提供し、インフラを防御するためのセキュリティ対策がもたらすROI／ビジネス価値をより明確に示すことができる。またSEM／SIMツールは、具体的なコンテンツセキュリティイベントのデータを提供するコンテンツ監視アプライアンスと通信することもできる。SEM／SIMはイベントを集約する機能を備えるため、定義／測定／分析プロセス実施後の改善効果を容易に示すことができる。要するに、SEM／SIMツールは、分析を行う上での基礎となるデータおよび改善効果を示すのに役立つデータを大量に提供してくれるのだ。

　これらはいずれも、セキュリティのビジネス価値を示すのが目的だ。われわれの取り組みの成功のカギとなったのは、シックスシグマツールを使ってわれわれが開発した「指標」によって示されたビジネス価値について説明することだった。これらのツールを利用することにより、われわれは自社の事業目標の達成を妨げる可能性のある情報セキュリティリスクを特定することができた。これにより、インシデントが起きた後の対策ではなく、インシデントが起きる前の予防策を講じることが可能になった。また、防御戦略の策定や、最も重大な情報セキュリティリスクを軽減するための計画を策定するのにも役立った。

　このようなフレームワークがあれば、経営幹部を納得させるのも容易になる。その際には、ビジネス価値に関する用語を使って話し、プロジェクトに対する経営陣の支持を段階的に（ボトムアップ方式で）獲得することが重要だ。また、最近のインシデントを引き合いに出し、インシデントへの対応や調査に伴う金銭的損失を示すこと。一般的に言えば、フォレンジック検査の結果を利用する（自明な証拠を提示する）ことも重要だ。また、リスク評価や監査の結果を、数値化のための指標として利用すること。法令順守や個人情報保護に関する要件との関係を明らかにし、あなたのプロジェクトが自社の知的財産と経営幹部を保護するものであることを示すことも忘れてはならない。最後に、プロジェクトと予算を段階的に提案することにより、CFOをはじめとする経営幹部の支持を取り付けること。

本稿筆者のトム・バウアーズ氏は、「Information Security」誌のテクニカルエディターで、独立系シンクタンク／業界アナリストグループ、セキュリティコンストラクツのマネージングディレクターを務める。CISSP（公認情報システムセキュリティプロフェッショナル）、PMP（プロジェクトマネジメントプロフェッショナル）、CEH（認定倫理的ハッカー）の資格を保有する。製薬会社でセキュリティマネジャーを務めた経験もある。