デジ☆ブログ|情報セキュリティ対策の難しさを克服するポイント

概要

情報セキュリティ対策はどちらかというとネガティブな活動と考えられていることもあり、対策を進めようとすると様々な障害にぶつかることが多い。また、脅威が日々変わっていくことも難しさの要因となる。「難しさ」の性質を踏まえて、現実的で有効な対策を行ないたい。

セキュリティ対策の難しいところ

組織の情報セキュリティ対策を進める上で、避けて通れない「難しさ」には以下のようなものがある。

（１）日ごとに変化する脅威に対応しなくてはならない

IPA（独立行政法人情報処理推進機構）が毎年発表している「セキュリティ１０大脅威」というのがある。2022年版では、組織対象のものでは、引き続き「ランサムウェアによる被害」「標的型攻撃による機密情報の窃取」が高い順位にあるとともに、セキュリティ対策が脆弱な取引先に不正侵入した後で標的企業への攻撃を図る「サプライチェーンの弱点を悪用した攻撃」も上昇しており、自社だけではなく顧客等の関係組織にも影響を与える危険性がでてきています。

悪いことをするほうは、よく飽きもせずにやるものだと変に感心したりもするが、とにかく大小とりまぜ、次々と新たな脅威が出現する。

こうなると守る側としては、技術的な対応や、ルール制定などの管理的な対応が追いつかず後手にまわってしまうこともあり、なかなかやっかいだ。

（２）セキュリティ対策は利便性の制限になることが多い

例えば、USBメモリは非常に便利なものだが、情報漏えいやウィルス感染の大きな脅威となるため、利用を制限している組織は多い。さらに言ってしまえば、パスワードですら面倒だというのが多くの人の本音ではないだろうか。

このため、ITの利用者はできることなら不便なルールを破りたい心情になる。夜間一人で仕事をしているとき、データをUSEメモリに入れて自宅でやってしまいたくなる誘惑に駆られてしまうのだ。

（３）性善説ではうまくいかない

社内の人間の故意による情報盗難、過失による情報漏えいなどは、非常に被害件数の多いセキュリティ事故である。ほんの一握りの不届き者の、ほんのでき心による行為であっても許されないことは言うまでも無い。

このために残りの大部分の人が「犯罪者予備軍」的な想定でルールが作られ、執行されることは、管理者、経営者としても心苦しいだろう。しかし、少し視野を広げてみれば、「法」というものはすべからくそういうものなのである。

（４）対策コストは売上につながらない上、無制限に増加する気がする

経営者からみれば効果の定かではないことにはお金をかけないのが当然である。ルールを守っていれば必要の無いパソコンの操作ログ監視システムや、これまで被害はなかったのに結構高価なサーバー用のウィルス対策ソフト導入費用を払うのにはためらいが伴う。

コストの観点からいえば、情報セキュリティへの投資判断は非常に難しい。売上高比率で決めるわけにはいかないし、ITベンダーが提案する全ての対策をすることも難しい。

また、このことと、（２）で挙げた「セキュリティは利便性を制限する」、（３）の「性善説ではうまくいかない」性質から、情報セキュリティを推進する担当者は嫌われ者になりがちである。

対策推進のポイント

以上のようになかなか悩ましいのが組織の情報セキュリティ対策という活動である。考えられることを全てやるには手間暇も、お金も足りないなかで、やれるのは優先度の高い効果的な対策から実施していくことである。

大きく、以下の３点がポイントとなる。

１．リスク評価に基づく方針の設定

どこまでの対策をどのようにするのかの方針を決め、ルールで対策するもの、仕組みで対策するものを明確にする。そのためにはセキュリティのリスクを評価して、回避するのか（リスクの源をなくす）、軽減するのか（被害を少なくする）、転嫁するのか（保険をかける）、受容するのか（受入れる）を判断することは必要である。