コミュニティーリーダーが占う、2008年大予測

情報セキュリティ　「ヤッカイ」「ハッキリしない」が今なお本音

　2008年は個人情報保護に関するOECD勧告、EU指令という黒船襲来から10年。いよいよ日本版SOX法がスタートする年でもある。

　その間、情報セキュリティ総合戦略を始めとする国を挙げての取り組みが開始され、現在、2008年度を最終年度とする第一次情報セキュリティ基本計画が進行中である。2009年度の初めには、重要インフラについてはIT障害を限りなくゼロとし、企業においては対策の実施状況を世界トップクラスの水準に持って行くとともに、個人にあっては、IT利用に不安を感じる個人を限りなくゼロにする事を目標としている。

　しかし、インターネットの普及・発展や社会経済活動のICT化の進展により、我が国の国民生活及び社会経済活動のIT利用度がかつてないほど増大している。その一方で、コンピュータシステム全体を管理するOSや各種アプリケーションソフトウェアの脆弱性が度々発見され、その脆弱性を狙ってのコンピュータウイルスが横行。情報システムの障害による業務・サービスの停止や機能低下、さらにはブランドイメージの失墜等の経営基盤を揺るがす損失にまでつながる事件が今なお頻発している。

　事業が企業間にまたがってネットワーク化された環境であるからこそ、その事業にかかわるすべての組織や企業が同じレベルのリスク認識を持ち、リスクに対応した網羅的な対策を継続的かつ計画的に見直しながら、情報セキュリティの確保を企業経営上の重要な課題として、また、内部統制を支えるインフラとして欠かせないものとして認識しなければならない。

ヤッカイな代物

　情報セキュリティの世界は目に見えない、触れることもできないものを精緻に管理することが求められる大変ヤッカイな代物だ。それゆえ、技術の劇的な変化を背景とした悪意を持った第三者からの脅威によるリスク、設定ミスなど、インターネット上への流出における回収の困難性といったインターネットの負の側面や、リスク要因の経時的変化、システムの経年劣化などへの対応に、危機管理の視点が強く求められる。

　また、情報セキュリティの確保は利便性とのトレードオフの関係にあるため、対策そのものが自己目的化し、利用者の利便性が過度に損なわれる可能性がある。セキュリティのために本業が圧迫され過ぎるようなセキュリティ原理主義でなく、ビジネス視点としての賢いリスク管理が必要だ。

情報セキュリティへの取り組みは、本当に効果を上げているのか？

　企業の情報セキュリティの取り組みがどの程度効果を上げているかが、どうもハッキリしない。情報セキュリティ対策が計画通りに実行されているのか？　企業方針が徹底され、経営者の意図したリスク低減の達成に統制が有効に機能しているのか？　外部の利害関係者の中でも特に情報セキュリティに強い関心や要求を抱いている業務委託先や顧客の期待にいかに応え、その期待に応えられる対策を実施していることをいかに理解してもらえるか？　など、まだまだ課題は多い。

　それゆえ、第一次情報セキュリティ基本計画の最終年度である2008年度は、情報システムの信頼性向上に関する評価指標の充実や企業の規模・業態や保有する情報資産などの属性別に、それぞれの組織・グループ別に適合する水準の明示が強く求められよう。

この記事の著者

関連記事

• 

  ビジネスとして見るSaaS　2008年はネットワーク効果が鍵

• 

  既存との融合がテーマ――WEBとビジネスの展望

• 

  ミドルエイジのスキル不足がもたらす暗い将来、2008年ITベンダー業界予測

• 

  2008年は「内部統制元年」　キーワードは運用へ

• 

  2008年に登場する？　こんなユニーク・ビジネス

• 

  2008年に注目される10のIT戦略テーマ

• 

  超優良大企業も油断できない人口減少　2008年はキャリア変革の年に

• 

  荒れ模様の日本、2008年はどこにいくのか？

• 

  2008年のヒント「ビジュアル力」――見せるから使えるビジュアルへ

• 

  「偽表示」「偽公約」――2008年に高まるポストインシデントのリスクコントロールの重要性

• 

  2007年のビジネス書三選　そして2008年への期待

• 

  個客特性補足したマーケティング革新の始まり