ITmedia エグゼクティブセミナーリポート

情報セキュリティはガバナンスの一部――グループ企業全体としてのガバナンスが重要（2/2 ページ）

グループ共通のルール設定が必要

　グローバルで1つのルールを設定することはなかなか困難である。丸山氏は、「デロイトでは、3層構造のルールになっており、まずは要件（何をするのか）を決定する。次にどのように行うか、どのようなツールを使うかを決定する。この内容は、会社によって変化する」と話す。

　要件の決定とは、例えばアクセス管理を行う、IDの発行を1人1つにする、必ず認証を行うなどのルールである。グローバルで1つに決めても良いし、会社ごとに決めても良い。デロイトでは、ファイアウォールの設定などは、グローバルで1つの設定になっている。一方、人間系の運用は、国によって事情が違うので状況によって変化する。

　「どこまでグローバルで共通にし、どこから地域、サービスごとに設定するかを決めることが重要になる。ポイントは、プロセスにセキュリティを組み込むことだ。プロセスを標準化し、標準化されたプロセスにセキュリティを埋め込むことで、自動的にグローバルで同じセキュリティ標準を設定できる」（丸山氏）。

　情報セキュリティをどこまで行えばよいのか。セキュリティ対策のためのセキュリティアーキテクチャには、「リスクアセスメントからの要件」「法的用件」「ビジネス要件」の3つの要件がある。この3つの要件に基づき、物理レイヤーからネットワーク、OS、アプリケーション、ユーザー、マネジメントまで、どのレイヤーで対策するかを設定する。

　また抑止、予防、検出、回復のどの分野で対策するかを設定する。さらに人材、資金、情報、設備、システムのどのリソースに対して対策するかを設定。計画、設計、導入、管理のどのライフサイクルで対策するかを設定する。このときルールの遵守状況を確認しなければコントロールできているとはいえない。

　目標を決めたら達成できているかどうかをチェックするのは内部統制の基本原則である。CISOによる自己チェックと、内部監査の2重のモニタリングが重要になる。次にグループ共通のリスク基盤により、ガバナンスを実現する。ガバナンスを頂点として、共通基盤、リスクマネジメントプロセスの3階層ピラミッド型でリスク基盤を構成する。

　丸山氏は、「共通基盤は、人材、プロセス、テクノロジーで構成されるが、テクノロジーにあたるのがGRCツールである。GRCツールを利用することで、リスクやセキュリティの状況を自動的に把握することができる」と話している。

ガバナンスは成熟度に応じて段階的に実現

　ガバナンスとセキュリティ強化のポイントは、大きく3つ。1つ目がグループ企業全体としてのガバナンスが重要になるということ。国内の拠点は管理しているが、海外の拠点はよく分からないという企業は意外に多い。国内拠点はもちろん、海外拠点も含めて、企業グループ全体としてガバナンスを効かせることが必要になる。

　2つ目が情報セキュリティもガバナンスの一部であるということ。例えば日本版SOX法であれば、グループ企業全体で取り組むことが必要になる。日本版SOX法は会計に関する財務報告に関する内部統制だが、情報セキュリティも内部統制の1つとして取り組まなければならない。

　3つ目がガバナンスを効かせるためには、人事や予算などの権限を与えることが重要。権限があいまいだと海外拠点やグループ企業が言うことを聞かないことになる。丸山氏は、「ガバナンスは、一朝一夕には実現できない。それではどうするか。スモールスタートで成熟度に応じて段階的に実現していくことが重要なカギになる」と締めくくった。

ITmedia エグゼクティブセミナーリポート

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  政府や重要インフラへの攻撃から日本を守るサイバーセキュリティ戦略

• 

  サイバー攻撃は現実の脅威――ヤフーだけが特別ではなくすべての会社が対象

• 

  2020年の東京オリンピックはITインフラを再構築する絶好のチャンス

• 

  「X経営」の実践こそがグローバル市場における日本企業の本質的な勝ち方

• 

  グローバルで戦うためのIT戦略には創造的破壊を進める勇気も必要

• 

  IT業界における30年間の経験を生かし日本の次世代リーダーを育成する

• 

  ビッグデータ分析がビジネスの勝敗を分ける──カギはデータサイエンティストの育成

• 

  グローバル革命が製造業を革新――高度な経営のかじ取りが求められる今後の製造業

• 

  グローバリゼーション3.0――高度な経営のかじ取りが求められる製造業をITで支援

• 

  攻撃されないサーバはない！――進化するサイバー攻撃から学ぶセキュリティ対策

• 

  まず敵を知ること――事象から考えるサイバーセキュリティ対策のあり方

• 

  サイバー攻撃から学ぶIT経営時代のセキュリティ対策

• 

  標準化によって少子高齢化や災害医療の課題に立ち向かう「コンティニュア」の取り組み

• 

  M2Mで日本が世界に先駆けるために必要な「視点」と「戦略」

• 

  モバイル活用で流通業界に新風――日本の「おもてなし」をアジアへ

• 

  イノベーションを生み出すネットワーク組織の推進にモバイルは不可欠