影響力が課題に

　セキュリティ業務が技術運営部門の内部にある場合、CSOが管理するリソースは最低限になり、その仕事は完全に影響力が頼みになる。これが大きなマイナスになるとは思わないが、仕事は違ったものになる。権力の拡大ではなく影響力を行使して管理を行うには別の手腕が必要だ。

報告が難しくなる可能性

　ネットワーク部門、データセンター部門、アプリケーション部門のセキュリティが別々のところにある場合、そのデータをすべて集め、組織全体で起きていることを一貫した形で総合的に把握するのは難しくなる。

事故対応の複雑化

　セキュリティ専門家が組織の各所に散らばっていると、何かあった場合の対応にも問題が生じるかもしれない。しかし問題発生時にはスピードと決断力が不可欠だ。CSOは対策プランをしっかり練って訓練を重ね、万一の時に問題を封じ込めるために必要なリソースを組織が確実に配備できるようにしておくことが必要だ。

　セキュリティ業務の配置や指揮系統を問わず、はっきりさせるべきことが1つある。セキュリティプログラム管理は切り離しておかなければならないということだ。会社全体のセキュリティ戦略とそれに関連するプログラムは、CSOが管理しなければならない。CSOがCIOの直轄かどうかにかかわらず、セキュリティの責任はCSOが持つ必要がある。極めて簡単なことだ。

　その理由は、セキュリティプログラムの実装と成功に関し、究極的には誰かが単独で責任を負う必要があるということだ。その人物は、自分の専門分野に関する先入観や偏見があってはならない。偏りのないセキュリティ専門家なら、ネットワークやアプリケーションやデータセンターの運営のみにとらわれている人物よりも、視野を広げて考えることが可能だ。

自社にとって何が適切かを考える

　単純な答えが出せればいいと思うのだが、意思決定に当たっては、自分の組織にとって何が最善か、自社の企業文化にとって何が最適かを判断材料としなければならない。一部には「権力すなわち人の数」という企業文化もあり、配下を持たないCSOは困難な状況に置かれるかもしれない。一方、協力とチームワークを大切にする文化では、CSOにとって最善の策は業務部門の中にセキュリティ専門家を配置することになるだろう。

　自分が今どちらの側にいようと、明日はその方向が変わるかもしれない。セキュリティビジネスではそれが自然な成り行きのようだ。セキュリティは常に向上させる必要があるが、変化というのは社内のビジネスプロセスが大きな役割を果たすものであり、隣の芝生の方が青いと意思決定者が思えば、グループや役割は周期的に変化するだろう。

本稿筆者のマイク・ロスマン氏は、情報セキュリティ市場を専門とする業界分析会社、セキュリティ・インサイトの社長兼主席アナリスト。プログラマー、ネットワーキングコンサルタントとしてキャリアを積んだ後、1993年にメタグループに入社、同社の情報セキュリティ分野への参入を主導した。後にPKIソフト会社のSHYMテクノロジーを創設、その後サイファートラストとトゥルーセキュアの両社で取締役を務めた。セキュリティ管理問題のコンサルタントを務めることもあり、業界カンファレンスで定期的に講演している。著書に「The Pragmatic CSO: 12 Steps to Being a Security Master」がある。