情報セキュリティ 「ヤッカイ」「ハッキリしない」が今なお本音：コミュニティーリーダーが占う、2008年大予測

2008年は個人情報保護に関するOECD勧告、EU指令という黒船襲来から10年。いよいよ日本版SOX法がスタートする年でもある。その間、情報セキュリティ総合戦略を始めとする国を挙げた取り組みが開始されているが……。

[井上陽一，ITmedia]

　2008年は個人情報保護に関するOECD勧告、EU指令という黒船襲来から10年。いよいよ日本版SOX法がスタートする年でもある。

　その間、情報セキュリティ総合戦略を始めとする国を挙げての取り組みが開始され、現在、2008年度を最終年度とする第一次情報セキュリティ基本計画が進行中である。2009年度の初めには、重要インフラについてはIT障害を限りなくゼロとし、企業においては対策の実施状況を世界トップクラスの水準に持って行くとともに、個人にあっては、IT利用に不安を感じる個人を限りなくゼロにする事を目標としている。

　しかし、インターネットの普及・発展や社会経済活動のICT化の進展により、我が国の国民生活及び社会経済活動のIT利用度がかつてないほど増大している。その一方で、コンピュータシステム全体を管理するOSや各種アプリケーションソフトウェアの脆弱性が度々発見され、その脆弱性を狙ってのコンピュータウイルスが横行。情報システムの障害による業務・サービスの停止や機能低下、さらにはブランドイメージの失墜等の経営基盤を揺るがす損失にまでつながる事件が今なお頻発している。

　事業が企業間にまたがってネットワーク化された環境であるからこそ、その事業にかかわるすべての組織や企業が同じレベルのリスク認識を持ち、リスクに対応した網羅的な対策を継続的かつ計画的に見直しながら、情報セキュリティの確保を企業経営上の重要な課題として、また、内部統制を支えるインフラとして欠かせないものとして認識しなければならない。

ヤッカイな代物

　情報セキュリティの世界は目に見えない、触れることもできないものを精緻に管理することが求められる大変ヤッカイな代物だ。それゆえ、技術の劇的な変化を背景とした悪意を持った第三者からの脅威によるリスク、設定ミスなど、インターネット上への流出における回収の困難性といったインターネットの負の側面や、リスク要因の経時的変化、システムの経年劣化などへの対応に、危機管理の視点が強く求められる。

　また、情報セキュリティの確保は利便性とのトレードオフの関係にあるため、対策そのものが自己目的化し、利用者の利便性が過度に損なわれる可能性がある。セキュリティのために本業が圧迫され過ぎるようなセキュリティ原理主義でなく、ビジネス視点としての賢いリスク管理が必要だ。

情報セキュリティへの取り組みは、本当に効果を上げているのか？

　企業の情報セキュリティの取り組みがどの程度効果を上げているかが、どうもハッキリしない。情報セキュリティ対策が計画通りに実行されているのか？　企業方針が徹底され、経営者の意図したリスク低減の達成に統制が有効に機能しているのか？　外部の利害関係者の中でも特に情報セキュリティに強い関心や要求を抱いている業務委託先や顧客の期待にいかに応え、その期待に応えられる対策を実施していることをいかに理解してもらえるか？　など、まだまだ課題は多い。

　それゆえ、第一次情報セキュリティ基本計画の最終年度である2008年度は、情報システムの信頼性向上に関する評価指標の充実や企業の規模・業態や保有する情報資産などの属性別に、それぞれの組織・グループ別に適合する水準の明示が強く求められよう。

井上陽一氏が主催するエグゼクティブ・コミュニティー

情報セキュリティあれこれ

　情報漏えいや不正アクセス、システムダウンなど、情報資産にかかわるIT事故が企業の継続的な事業・サービスを脅かすリスクとなっています。情報セキュリティ対策は今や企業が果たすべき社会的責任となっており、経営トップなども含めて、情報セキュリティの重要性を十分に認識するとともに、変化する環境に対応した対策のPDCAサイクルを継続していかねばなりません。

　本コミュニティーはめざましい変貌を遂げ、今なお進化しつつあるIT環境の便益を制限・抑制することなく、促進するための研さんの場として情報交換・議論を行っていきたいと思います。