最新セキュリティマネジメント（第6回）サイバーセキュリティリスクの把握と対応計画の策定

　サイバーセキュリティ対策の対象となる情報は、顧客や取引先に関する情報はもちろん、経理、財務、人事といった企業活動全般にわたっている。その情報は現在では、データとしてコンピューターに保管されているケースが多いだろう。ただ、具体的に「何がどこにあるのか？」と聞かれると、はっきり答えられないケースも少なくないのではないか。

　かつては社内にサーバーを設置して一元管理する企業も多かったが、データ量の増加やシステム分散化に伴い、現在はさまざまな場所で個別に保管している企業も珍しくない。対策を考える際は、まず、膨大なデータの中から「経営戦略上、守るべき情報」を特定し、それがどこに保管されているかを把握する必要がある。

　この「守るべき情報」に対して、発生し得る具体的なサイバーセキュリティリスクを把握する。情報流出の被害は頻繁にメディアで報じられているのだが、あらためて挙げてみよう。

・業務停止（社内システムダウン・工場の操業停止など）
・データ悪用（機密情報の公開、詐欺など犯罪での悪用など）
・社会的信用の失墜（顧客・取引先減少、報道によるイメージダウン）
・経営悪化（補償の負担、最悪の場合倒産も）

　こうしたインシデント発生時の被害を恐れるあまり、あまり極端な利用制限を行うことはデータ活用の低下につながり、企業活動を停滞させてしまう結果を招きかねない。対策を講じる際には、個々の被害の大小、発生する可能性の高さ、あるいは生産性への影響などを検討して、優先順位をつけて対応を考える取り組みが求められる。

　次に、把握したリスクに対して実施すべき具体的な対策を検討する。以下のような低減策、回避策、移転策の中から最適なものを選択する。もちろん、複数の対策を組み合わせるのも効果的だ。

実施すべき具体的な対策

・リスク低減策の実施（リスクの発生確率を下げる対策）
　例：重要な情報へのアクセス制御、ソフトウエア更新の徹底など

・リスク回避策の実施（リスク発生の可能性を除去する対策）
　例：（盗難防止を目的とした）端末持ち出し禁止など

・リスク移転策の実施（リスクを他社などに移す対策）
　例：クラウドサービスの利用、サイバー保険加入など

　これらの対策のうち、リスク低減をめざす取り組みはすでにかなりの企業が実施している模様だ。しかし、回避、移転の対策は「手つかず」、もしくは「まだこれから」という場合も多いようだ。

　回避の部分では、ビジネスシーンでリスクとなり得る行動をピックアップし、業務遂行に支障のない範囲で制限をかけることがポイントになる。また、移転については社外でのデータ管理に抵抗を感じる企業も少なくなかったが、クラウドサービスの進化を受けて、利用が徐々に拡大しつつある。高度な技術と責任感を持ち、安心してセキュリティ対策を委ねられるパートナーを見つけることが推進のカギになるだろう。

ビジネスの将来を見据えた対策を

　対策を進める中では早急な取り組みが求められる項目とは別に、現在はまだ不要だが、今後必要になる可能性があると判断されるものが出てくると思われる（扱うデータがそれほど重要でない場合、利用者が少ない場合など）。これらはひとまず「残留リスク」として分類し、タイミングを見てセキュリティ対策を実施する。

　法令上の安全管理措置が義務付けられている情報（個人情報など）については、法令上の取り扱いを考慮したリスクの特定を行うとともに、緊急時に速やかに情報保護が行えるような対策となっているかを検討する必要がある。以前から保護の取り組みを開始している場合も、法令の変更や時代の要請に合わせて、定期的に見直しを行うのが望ましい。

　また、サイバーセキュリティ対策は現在行われている業務に限って必要なものではない。今後、企業が新たに取り組むあらゆるビジネスに関係する。新しい製品・サービスの開発や新規事業分野に進出する際には、「セキュリティ・バイ・デザイン（情報セキュリティを企画・設計段階から確保するための方策）」の観点を踏まえ、スタート時点において将来をにらんで効果的なセキュリティ対策を組み込んでおくべきだろう。