【図解】コレ１枚でわかるサイバー・セキュリティ対策の実践

＊先般、発売となった「【図解】コレ1枚でわかる最新ITトレンド［新装改訂3版］」の出版後、追加作成したテーマについて、何回かに分けて連載します。

ウイルスや不正アクセスといった自分たちではどうにもならない「脅威」をなくすことはできません。しかし、この「脅威」から自分たちを守ることはできます。それは、「ぜい弱性」をなくすことです。

「脅威」は、バグや不適切な設定などのシステムが持つ弱点、すなわち「ぜい弱性」に対する侵害です。ですから、この「ぜい弱性」をなくせば、「脅威」を気にする必要なくなります。すなわち、サイバー・セキュリティ対策とは、「ぜい弱性」対策と言い換えることができるのです。

ただ、完全な「ぜい弱性」対策は、現実的ではありません。なぜなら、それには膨大なコストがかかるからです。そこで、守るべき対象となる情報資産やシステム資産ひとつひとつについて、インシデントが発生したときの事業への影響の大きさを評価し、「情報セキュリティの3要件（CIA）」すなわち機密性、完全性、可用性に照らし合わせて、どこまでなら受け入れられるかの「受容レベル」を明確にしておくことから始めなくてはなりません。その上で、とどこまでできたら達成とするかの「達成基準」を、それぞれに対して設定し、最適な施策を打つことが、現実的と言えるでしょう。

以上のような「戦略的なセキュリティ対策」を実施し、これが適正に行われていることを、インシデントを含む様々な事象やユーザーの利用履歴から、全てを説明できる状態にしておきます。そして、ビジネス環境の変化に適切に対応しながら、最適な状態を維持しなければなりません。

対象とする資産を定めず、「受容レベル」も評価せず、「達成基準」も決めずに、ただ闇雲に「全てを守る」という「戦略なきセキュリティ対策」は、コスト的にも技術的にも現実的ではありません。このようなことをすると、結果として、必要なところに、適切な対策ができなくなってしまったり、従業員に過剰な負担や不便を強いてしまったりと、本末転倒な結果を招くことになります。

改めて、サイバー・セキュリティ対策の実践を整理すれば、次のようになります。

どこまで対策をすればいいのかを、対象となる情報資産やシステム資産について、「対策コスト負担」、「3要件への影響」、「受容レベル」の最適な組合せを決め、それぞれに応じた適切な対策を実施する

「コレ１枚」シリーズの最新版　第2版から全面改訂

新しく、分かりやすく、かっこよく作り直しました

ITビジネス・プレゼンテーション・ライブラリー