Principle - Security Lab

新規登録ログイン

ログイン

閉じる

▲Principle

Principle

Title	セキュリティメカニズムの３要素
Category	Principle
Contents	セキュリティの３要素を理解する必要があります。セキュリティ３要素とは、１．守るべき「価値」２．想定すべき「脅威」３．とるべきセキュリティ「対策」セキュリティ計画は、「守るべき価値」と「想定すべき脅威」を確定することからはじめます。簡単に言えばセキュリティ計画とは、「何を何からどの程度守るのか？」を決めることです。セキュリティコンサルティングの問題は、この意思決定をどのように行うか道筋を明らかにし、価値の所有者に納得性の有る理由とともに「行うべき対策」を提案しなければなりません。セキュリティコンサルタントは、セキュリティを整理し解決策を導く手法を持ち、セキュリティの費用対効果を最適化する能力を備えていて、顧客にとって信頼できる提案者でなくてはなりません。

| 詳細を表示

Title	守るべき価値
Category	Principle
Contents	守るべき価値を明確にすることはセキュリティ計画を策定する第一歩です。次の５つのカテゴリーで守るべき価値を網羅的に整理しましょう。 ① 現金紙幣、硬貨、証券、債権、小切手など換金可能な財産を狙う強盗、窃盗、詐欺、着服などの犯罪は後を絶たない。金融機関などでは、現金をどのように移送しどこに保管するか、その時にどのような脅威が発生しうるかを検討し、現金を安全に保管できるよう対策をとっている。 ② 現物資産製品、材料、製造装置、コンピュータ、自動車、建物などの現物資産が企業活動に欠かせない。商社やメーカーは、それら商品の窃盗、搾取、破壊による損失を被るリスクを抑えるための対策をとっている。 ③ 情報競合に知られたくない企業秘密情報、漏洩が許されない顧客情報や個人情報、国家の機密情報など現代社会に於いて情報を守ることは社会的使命となっている。個人情報などはネットワーク経由で流出することも多いが、あらゆる情報漏洩の９０％以上は紙媒体によって流出しているともいわれている。重要な情報は、情報の入手、移動、加工、保管、廃棄に至る全てのプロセスを管理する責任者を決めて守る必要がある。 ④ 人どのような資産も人の命には代えられない。原子力施設、実験施設など特に危険な場所においては、特に人命第一の安全対策がとられている。企業においても役員フロアの安全管理、病院の幼児連れ去り防止など脅威が発生しうるケースを想定し対策をとっている。人命の安全と防犯のセキュリティの対策は相反する場合が有る。例えば、火災時に火災信号で扉を自動的に解錠するシステムは、安全を優先できるが、防犯セキュリティの面では、相反する問題として検討すべきことのひとつである。 ⑤ 運用企業や国家は目に見える価値だけを守るだけでなく、運用のシステムそのものに障害が発生すると危機的な損失が発生する場合がある。金融機関では、送電線事故から停電が発生するとＡＴＭや自動機が動かなくなり、業務に支障が生じることから電源の二重化や自家発電設備を備えている。企業においても重要な運用が停止しないよう脅威を洗い出す必要がある。運用やオペレーション自体を守るべき価値と認識すべきケースは多い。

| 詳細を表示

Title	セキュリティ管理
Category	Principle
Contents	セキュリティマネジメントシステムとは、ISMSで提唱されているＰＤＣＡが回るシステムのことで、簡単に言えば「セキュリティの管理を行うこと」です。但し、ＩＳＭＳは主に守るべき価値を「情報」と捉えており、人命、現金、運用などの価値は対象としていません。総合セキュリティにおいては、物理的防護（Physical Protection）を主の対策としており、守るべき価値として「人・もの・金・情報・運用」のすべてを保全対象にする点に差異があります。情報を守る場合と人の命を守る場合では、想定すべき脅威も、とるべき対策も異なっています。セキュリティ計画では、セキュリティコンサルティングの過程において、価値：脅威：対策のフレームワークを用いて分析整理を行うため、一定以上の品質のセキュリティ計画をアウトプットすることができるのです。セキュリティ管理を実現するには、セキュリティ対策の計画→実施→評価→是正のＰＤＣＡを回す運用を実現する必要があります。セキュリティの運用は、セキュリティ機器のプロットやシステム系統などの「設備」機能と人が行うべきことを定めた「運用規則」によって維持することができるのです。狭い意味の「セキュリティ計画」は、盗み、不正行為、意図的攻撃などに対抗し、施設を守るために、人と設備と運用を統合するデザインを行うことです。効率的にセキュティ計画を行うためには、設計者が使える費用を考えながら対策を練るための論理的なアプローチが必要です。注意深くアセスメントをしないと不必要な対策にお金を浪費してしまう結果を招きかねません。社員食堂とコンピュータ室ではセキュリティの度合いが異なることは誰でもわかりますが、倉庫Ａと倉庫Ｂの重要度の違いは調査しないとわかりません。セキュリティの守るべきものに対して、技術と人と運用の要素をインテグレーションデザインすることがこのコンサルテーションの範疇であり、法律手続きや探偵調査の手法などについては含みません。

| 詳細を表示

Title	セキュリティ・プロフェッショナル
Category	Principle
Contents	セキュリティのプロフェッショナルは、セキュリティ計画が立てられるだけではなく、実施しているセキュリティの費用対効果を評価する必要があります。施設のリスクを減らすためにセキュリティシステムの機能を上げたり機能アップグレードをしたりしますが、施設の予算に見合う技術やシステムを選定したら、その費用対効果を比較できるまで理解する必要があります。・セキュリティシステムの目的を定義・目的にあわせてセキュリティを設計・目的に比較して効果がどれほど高いのか評価施設の運用と状態の特徴は、立地条件や内装レイアウト、アクセスポイントなど建物自身の記述を通して決めることが求められます。記述として図面、運用仕様書、防災計画書、環境文書から、また、施設管理担当者からのインタビューなどで得られる内容は必須です。施設は一つ一つ異なっているので、このようなアプローチを用いることが効果的です。

| 詳細を表示

Title	法・規制・ガイドライン
Category	Principle
Contents	法・規制・ガイドライン内部統制企業の規模によって社会に与える影響は異なりますが、会社法３６２条４項６号では、　内部統制は、取締役の職務執行が法令及び定款に適合することを確保するための体制、及び、株式会社の業務の適正を確保するための体制を意味し、「大会社および委員会設置会社においては取り取締役会で内部統制の基本方針についての決議をすること、およびそのことを事業報告に記載することにより監査役監査の対象とすること」としています。また、金融商品取引法では、「上場企業においては財務報告に係わる内部統制の有効性について経営者が評価し、その評価の適正性について監査法人等が監査を行うこと」が義務付けられています。内部統制の目的のひとつに「資産の保全」があり、不正等から資産を保全することは内部統制として重要です。不正が発生したときに適時に検知又は発見することが損害の拡大を防止する上で重要であり、不正検知・発見は内部統制の一部です。もし、不正が発覚した場合はその証拠を適切に保全しなければなりません。その証拠を適切に保全できなければ、その後の責任の追及が困難となり経営者の経営責任も果たせない場合がありえます。内部統制の目的のひとつである「資産の保全」を行う内部統制手段として、入退室管理や監視録画が求められます。コンピュータ操作で行われる不正の記録を業務システムのログとして残すことができるのと同様に、社員の入退室行動を記録した入退室管理システムのログや、防犯監視カメラの録画画像データも内部統制上における重要情報のひとつであるため、証拠として適切に保全されなければならなりません。この場合も、デジタル情報の証拠保全、分析調査（捜査）の手法及び技術は、デジタルフォレンジックといえます。入退室管理や監視録画においても、ネットワークのうえで適切な管理を行わなければ、不正を行った人の発見および証拠の保全をすることができません。容易にログ等の改ざんが行われないよう、特権ユーザーの管理やユーザー認証を適切に行う必要があります。

| 詳細を表示

Title	コンサルテーション
Category	Principle
Contents	「いかにお客様の役に立てるか？」セキュリティコンサルタントとしてまず、この立場であることを意識していただきたい。セキュリティのプロフェッショナルとしての技能を活かして「いかにお客様の役に立てるか？」を顧客の立場で、効果的セキュリティ対策と費用節約の双方を考慮した計画を進める必要があります。そのためにはお客様の情報を把握し整理するフェーズが必要です。お客様の守るべき価値と想定すべき脅威などセキュリティ計画に必要な基礎調査のことを「リスクアセスメント」といいます。施設が守られている状況と管理者の仕事やセキュリティ要求などについて現地調査を行い、その情報をわかりやすく記述する作業がセキュリティ計画には不可欠です。新築現場の場合は、図面から想定の元にセキュリティ計画を行わなければなりません。この場合も、設備と人と運用のすべてを統合してセキュリティ計画を立案できる技能が必要です。次に設計者が行うことは、脅威を定義することです。守るべきターゲットは物理的資産、電子データ、人、業務に支障を与える何かであると考えられます。設計者はここで、「何を何から守るのか」というセキュリティシステムの目的をやっと理解できる段階に至ります。セキュリティシステムの設計は常に効果を評価し、改善しなければなりません。設計上で何らかの抜け穴や弱点を見つけた場合は、セキュリティシステムを改善し、再度評価しなければなりません。まず、脅威となる次の３つの質問の回答を検討すべきです。１．どのクラスの敵に対抗しなければならないか２．敵が用いる手口の範囲をどこまで考えるべきか３．誰が敵の可能性となりうるか敵は３つのクラスに分けられます。外部者、内部者、社員と共謀する外部者あらゆる手口とは・詐欺、虚偽（身分を偽る、認証をごまかす）・力づく（力に任せてシステムを打ち破る）・忍び（こっそりと検知機能を外す）・上記の組み合わせどのような施設にも、いくつかの脅威があります。犯罪を企てる外部者、不満を持つ雇用者、競争相手セキュリティシステムはこのような脅威を防止できるように設計されなければなりません。重要視すべき脅威を選定し、システムを設計し、テストを行い、他の脅威に対するシステムの効果を検証します。もし、この装置が壊されたらどのくらいのロスが発生するのか? このような質問は許容できない重大性をもつ資産や情報を見つけ出すのに役立ちます。経営コンサルティングの場合は、「クライアントの課題を明らかにする」「課題を解決するための方法を考える、あるいは手伝う」というコンサルティングそのものが商品です。一方、コンサルティング営業は「自社商品を売るための付随サービス」です。セキュリティコンサルティングは、自社商品だけを売るだけはなく、顧客のセキュリティ問題を解決する別の手段も提案する場合が多く、通常のコンサルティング営業よりも顧客にとっての付加価値は高いといえます。セキュリティ機器メーカーの場合は、クライアント（顧客）の課題が何で、その解決にどのように自社製品が役に立つのかを明確にし、商品やサービスを購入してもらうというコンサルティング営業を行っています。コンサルタントがセキュリティのプロフェッショナルでなければ、「セキュリティコンサルティング」を行うことはできません。また、コンサルティングを行える人材がいなければこれを行うことはできません。セキュリティがなぜ必要なのか？何を守るべきなのか？脅威は何か？どのような対策が最適か？何を何からどの程度守るべきなのか？これらを明確にして最適な解決策を提供することが「セキュリティコンサルティング」です。これを行えるプロジェクトマネージャには独自のスキルと経験が必要です。顧客側からはコンサルタントに対し、課題解決を効率的に行い短期間に高い効果を出すことが求められます。また、顧客にとって社内の反対派を説得するための根拠作り（箔付け）目的で依頼することもあります。社内の人間関係や利害関係や立場から対策の実施が困難なケースを打破するために根拠作りが必要な場合があります。セキュリティコンサルティングの仕事の流れは、「○○のセキュリティについて相談したい」と相談を受けた時点から始まります。この時点で、セキュリティコンサルティングをどのように進めるべきか、ＴＳ事業室やセキュリティ事業本部との意見交換を行う必要があります。顧客はコンサルタントに相談することが正しいことかを、見極めようとコンサルタントの反応を見ている場合があるからです。セキュリティのために何をしていいのかわからないという顧客の場合は、現地調査を行うことから問題の把握を始めることになります。相談者からの話を整理して、セキュリティの目標を定め、事前に現地調査表（ヒアリングシート）を作成して現地調査を実施します。本部の担当者も同行してヒアリングを実施します。セキュリティの現状調査を含め、セキュリティコンサルティングを依頼された場合は、計画の策定に移行します。最終アウトプットイメージ、取り組み体制、工程スケジュール、費用概算などを計画に織り込みます。仕事の流れとしては、 ①　顧客の課題（WHAT）を明確に認識します。 ②　解決へのアプローチと具体的な作業内容を決定するために課題をパートに分解します。 ③　各パートの課題解決策（HOW）を考案し検証します。 ④　各パートの解決策を統合します。先方にプロジェクトチームがある場合もあります。調査報告書をまとめる際に、現地の設備状況（平面配置）、各部屋の重要レベルの確認、現状の運用フロー、組織、問題点の整理、セキュリティ強化対策の選択肢をまとめます。コンサルタントの仕事の流れ ①クライアントから依頼されたプロジェクトの目的を確認する ②コンサルタントメンバー内での共有を図る ③情報を収集して整理分析する ④課題の体系化を図り目標を設定する ⑤基本コンセプトを立てアクションプランを作成 ⑥実行に移す

| 詳細を表示

Title	SafetyとSecurity
Category	Principle
Contents	「Safety」は災害や事故などから主に「人」を守るための対策を意味し、「Security」は意図的な攻撃や盗みや不正行為に対抗するための対策を意味しています。例えば火事は、電気的なショートによって発火することもあれば、テロリストの爆弾によって燃え上がることもあります。火事自体は、燃料と酸素がある限り燃え続けますが、どちらかが無くなれば消えます。例えば、盗みや不正行為など、意図的に敵がセキュリティを破ろうとすることへの対抗手段には２つの方法があります。「敵に思い止まらせる」か「敵を打ち負かす」かのどちらかです。このようにセーフティとセキュリティは異なるということを頭に入れておくべきです。火災時に、重要な守るべきものを保管する部屋から人が非難する際に、鍵を開放してよいか？　など、設計上相反することへの判断を求められるケースがあります。

| 詳細を表示

Title	抑止
Category	Principle
Contents	セキュリティで重要なことは、不正を試みようとするものが思いとどまるような手段を講じることです。駐車場に警備員を立たせたり、夜間照明を明るくしたり、サインを立てたり、バリアを設けたり、窓に鉄格子を取り付けたりすることで、犯行をあきらめさせることに役立ちます。但し、どのような手段をも選ばない意図的な不正行為に対してはあまり役に立たちません。なぜなら、抑止が効果を発揮できるのは、その不正行為によって犯行を企てる者にとっての利益を得られないことを判断できることが前提だからです。抑止が効果をもたらす相手はある意味正常な人間であることが前提であり、犯人がセキュリティシステムへのアタックに挑戦するかどうかは決め付けることはできません。従って、抑止効果は測ることができません。セキュリティシステムをデザインすることによって実際に攻撃された時に財産を守るだけでなく、付加的に抑止効果という長期的価値を得られるものと考えるべきです。

| 詳細を表示

Title	不正は、なぜ発生するのですか？
Category	Principle
Contents	不正は、不正を行う動機、行える環境、行ったことを正当化する理由があると起きるといわれています。社員が不正を行う動機を会社が社員に働きかけて無くすことはできないと思われます。しかし、不正が行いにくい環境を整えて、動機があっても不正を抑止する仕組みを作ることは可能です。これこそが提案する内部統制の重要なポイントなのです。不正が行われることを抑止する環境を整備するためには確実なユーザー認証とアクセス管理が基本です。不正を抑止するためには、不正を確実に発見するシステムがあることを周知させることが重要です。そのためには入退室アクセスログを定期的にチェックする仕組みを整えることや不正の証拠の適切な保全が重要です。不正には抑止で対抗します。但し、抑止が効くのはあくまで頭が狂っていない犯人であり、自暴自棄など頭の狂った犯人には抑止が効かないこともあることを忘れてはなりません。このようなポイントを押さえた内部統制の整備は今後の企業にとってますます重要な課題といえます。

| 詳細を表示

Title	セキュリティと医療
Category	Principle
Contents	セキュリティと医療は類似しています。価値と脅威とセキュリティ対策の関係は、健康と病気と医療とよく似ているからです。脅威が価値を失わせるのと同様に、病気は健康を失わせます。セキュリティ対策は医療でいう、予防や対処や手術という病気に対抗する処置ということができます。さらに、セキュリティに必要な計画、システム機器、運用、規約は、医療に必要な診察、手術、薬の処方のような役割を果たします。命を預かる医療現場において、診療にあたる医師と患者の信頼関係は重要です。医師は医療専門知識と経験を持ち、患者の病気を診断し、その治療方法の選択肢を患者に提示してくれます。それと同様に、セキュリティ・コンサルタントと顧客との間にも信頼関係が無ければなりません。お客様はセキュリティをどのようにしたらよいかがわからない場合が多く、その相談にのる時には医師と同様にお客様の立場に立ち、コンサルタントが最善の対策の選択肢を立案しお客様に提示すべきです。

| 詳細を表示

Title	質問する力
Category	Principle
Contents	コンサルタントは鋭い質問力を備える必要があります。クライアントはコンサルタントから質問を受けることで問題が明確になり課題が整理されることになります。コンサルタントの質問力は、仮説力、本質力、シナリオ力に裏打ちされます。 ■仮説力とは「物事を論理的に整理し、わかりやすい答えを仮説として立てたうえで『なぜ？』を質問する」ことです。仮説を立てることは質問力の基本です。 ■本質力とは事象の「見える化」を通して、わかりやすく、「論理的に組み立て」重要なことに絞り込む能力のことです。「あなたはどうしたいと考えているのか？」「なぜそう思うのか？」（なぜを数回繰り返す）「つまり」、「要するに」を繰り返し「それを一言で言うと、どうなると思うか？」という質問を考えます。 So What ? Why So ?　をいやになるほど繰り返すのです。（プロはあきらめない）話をまとめて表現する力が必要です。鳥の目と虫の目を使い分けて整理体系化を行います。 ■シナリオ力とは質問のプロセス、流れを考え、「いつどのタイミングで何を質問するか」を考えることです。しっかりとした仮説を立て、本質を突いた質問をしてもどういう流れでその質問を出し、相手の個性と能力とどうマッチングさせるかで答えが変わってしまいます。一連の作業は二種類の仮説を立てて行います。Ａ．過去～現在軸の仮説（売れた商品を発注する）Ｂ．未来軸の仮説（売れそうな商品を発注する）プライマリーデータ（インタビュー）、セカンダリーデータ（公開されている情報）とは、まず、書籍や新聞記事、統計資料、ウェブサイトなどから情報を収集します。つぎのように、調査者がインタビューによって情報を得ます。 ①調査目的の設定 ②調査資料 ③実査 ④データ回収仮説を立てる時の二種類のロジックツリーがあります。Ａ．ボトムアップ型（現象を網羅的にピックアップし原因を共通項で結びながら結論を結ぶ）Ｂ．ブレイクダウン型（基本コンセプトからアクションプランに落とす）「インタビューの相手に「何が聞きたいか・何が聞けそうか」を網羅的にピックアップし共通項で結びながらインタビューのテーマを絞り込む」設定したテーマからブレイクダウンして質問事項を洗い出します。インタビューは真剣勝負。自分は３０％、相手が７０％話せる時間配分を心がけます。相手の壷を抑えたインタビューができれば予想以上の必要な情報を収集することができます。呼び水となる質問を用意します。「この○○の状況に問題があり○○が必要ではないかと思うが、あなたはどう思われますか？」万が一、答えが仮説の延長線上に無い場合は、ゼロベース思考で話をします。

| 詳細を表示

Title	伝える力
Category	Principle
Contents	プレゼンテーションの目的と話の組み立て方に工夫します。最初に「結論」を言います。 ①経緯 ②現状の分析 ③現状に対する提案 ④今後の展望もう一度結論を言います。ディテールを説明する場合はＰＲＥＰ法 ①ポイント ②リーズン（理由） ③イグザンプル（具体例） ④ポイントプレゼンテーションは単なる製品説明ではなく相手に行動を起こさせるための説得と考えます。ＫＩＳＳ（Keep it Simple and Specific）単純かつ明確に ①なぜこの提案が必要なのか ②対価はどの程度なのか ③相手の利益は何なのか ④相手に何をしてほしいのかの内容を盛り込む本質を見極めるためには質問「なぜ？」を３－４回繰り返します。話をまとめて表現する力が必要で、鳥の目と虫の目を使い分けて整理体系化を行います。短く、シンプルに話をするトレーニングを行います。【トレーニングのための例題】・成功事例のスピーチを２分以内で行え・上司に一分以内で報告する・会議での発言は一回につき３０秒以内で簡潔に述べる・必ず結論から話す

| 詳細を表示

Title	セキュリティの体系的理解
Category	Principle
Contents	セキュリティコンサルタントは、セキュリティを体系的に知り、漏れ無く検討を行い、適切な対策を立案することが求められます。その時に有効なツールを用意しています。それがセキュリティフレームワークです。私たちがセキュリティフレームワークを利用することによって、セキュリティ対策を立案する上で必要な要件を明確にすることができます。

| 詳細を表示

Title	コーポレートセキュリティの必要性
Category	Principle
Contents	昨今は、コーポレートガバナンスとオペレーショナルリスク管理の必要から内部統制が重要視されています。コンピュータのセキュリティ管理はシステム管理として一元的に統制ができていますが、入退室管理や鍵管理やキャビネットやカメラなどの物理的なセキュリティシステムは、一元化ができていない企業が多いといえます。従来の慣習に従ってビル単位、職場単位に任されて管理が行われるため、管理の正確さや運用の厳しさには管理者の意識の違いからばらつきが出てしまいます。本来の内部統制の質を均一化を図るためには、物理的なセキュリティシステムもネットワーク化して、次のことを解決すべきです。 ①　退職や異動に伴うアクセス権限の変更に遅れが生じないようにすべきです。 ②　使用状況についても本部が関与してエラーをチェックすることで抑止牽制力が働くようにすべきです。 ③　各機器の時刻のずれの補正や機器の故障を監視できるようにして、セキュリティシステム自体を保全するべきです。各施設の扉や鍵やキャビネットなどに誰がアクセスできるかを制限することが本部から一元的に管理でき、使用者の履歴を管理することは、現状の管理の甘さや設定忘れなどを解消することになります。

| 詳細を表示

Title	価値のあらいだしと整理
Category	Principle
Contents	私たちは価値を洗い出さなければなりません。なぜ、価値を洗い出ししなければならないのでしょうか？ 2つの理由があります。まず1つ目は、私たちや顧客が、価値を価値として認識しなければ、脅威は存在せず、セキュリティ対策は不要となるからです。つまり、価値を洗い出すことはセキュリティ対策の出発点ということです。 2つ目は、顧客に対して漏れのないセキュリティ対策を提案し、顧客にとって一番関心のあるセキュリティ対策を明確にしなければならないからです。つまり、多くの価値を認識し、その中から守るべき価値の優先順位をつけることが必要となるからです。私たちは漏れのなく価値を洗い出すために、金券、物財、人、情報、オペレーション（運用）の5つに分けて価値を洗い出して、整理します。価値は技術、法律、経済、住居、自然環境、組織、などの変化により、新しい価値が生まれたりすることもあります。また、潜在的な脅威が表面化したために、既存の価値が新たに注目されることもあります。

| 詳細を表示

Title	脅威のあらいだしと整理
Category	Principle
Contents	価値のあらいだしの次に、個々の価値に対する脅威をできるだけ多くあらいだしします。このとき、過去に起こった犯罪、事件だけでなく、起こりそうなことを想定することも大切になります。脅威とは価値を失わせる出来事（シナリオ）です。できるだけ具体的な出来事として脅威を捕らえなければなりません。なぜなら、具体的な出来事を捕らえなければ、脅威に対して的を得たセキュリティ対策を講じることができないからです。例えば、「現金が盗まれる」と「現金輸送車の現金が、積み下ろし中に他人により盗まれる」を比較してみてください。価値は同じ現金ですが、明らかに後者のほうが具体的な出来事として脅威を説明しており、具体的なセキュリティ対策を講じることができるでしょう。【だれの】【なにが】【いつ】【どこで】【どのような状態で】【なにによって】【どうなる】というように、価値と脅威の関係を考えていきます。

| 詳細を表示

Title	混同される「企業セキュリティ」と「ビルセキュリティ」
Category	Principle
Contents	内部統制、危機管理、情報漏洩防止などのリスク管理の観点から、企業全体でセキュリティポリシーを確立し、全社一元的に運用すべき「企業セキュリティ」においては、Ｐｌａｎ（計画）、Ｄｏ（実行）、Ｃｈｅｃｋ（評価）、Ａｃｔｉｏｎ（改善）を繰り返すことで継続的に企業のリスク変動に対応します。それに対して、ビルセキュリティは建築時に設計され、建物の運用が変わらない限りセキュリティ機能の追加は必要ないため、建築時に最適化されたセキュリティのまま運用され続けます。これは、リスク変動が多い企業サイドのリスク管理の観点からは、共用エリアの部分的な構成要素でしかありません。新設テナントビルの場合は中央監視盤と連接した「ビルセキュリティ」として導入されることが多いですが、ユーザーが単一企業である場合は、その企業のセキュリティポリシーに適合させ、企業のリスク変動に低コストで対処できる「企業セキュリティ」用のパッケージ型セキュリティシステムを採用することを強く推奨します。建築設備設計者は、新築するビルに「企業セキュリティ」と「ビルセキュリティ」のどちらを導入すべきかを熟慮すべきです。企業セキュリティを運用する管理者は中央監視盤の画面をにらんでいたいと考えていないし、セキュリティの設定変更の都度メーカーＳＥを呼びたいとも思っていませんので、設計段階でのこの選択は施主にとって非常に重大な判断となります。忘れてならないのは、ビルセキュリティでは内部統制はできないことです。

| 詳細を表示

Title	リスクの定量化への考察
Category	Principle
Contents	リスクの定量化への考察リスク対策のプロセスのベースはISMSのリスクの特定・分析・評価・対応・対策のプロセスに沿いつつ、上述した中小企業の一般的な業務に潜む情報セキュリティ上のリスクに対して行います。ここで問題になるのがリスク分析・評価・対策の定量化です。脆弱性、脅威、情報資産価値とセキュリティ投資の経済的な最適値に関しては、Maryland大学のL. A. GordonとM. P.Loeb2) によるモデルを利用したすぐれた研究があります。彼らの研究を結論のみ簡単に紹介します。脆弱性vを持つ情報資産にセキュリティ投資zを行った場合の脅威の成功確率をS（z,v）と定義します。セキュリティ投資を行った場合の正味の利益期待値ENBIS（v）は、 ENBIS(v) =[v－S(z,v)] tλ－z………式① と記述できます。ここでパラメータv、t、λはそれぞれ、脆弱性による脅威の成功確率、脅威の発生確率、脅威が成功した場合の損失（情報資産の価値）、を意味します。S（z,v）がGordon－Loebモデルに属すると仮定すると、正味の利益期待値を最大化する最適投資額Z(v)は、 Z(v)<37%v tλ………式② の関係を満たします。脆弱性を持つ価値100万円の情報資産が存在するとします。この情報資産に発生確率90%の脅威が存在し、脆弱性による脅威の成功確率を80%とします。企業は、損失の許容を30万円と考え、この脅威の成功確率を30%に低減するため、28万円のセキュリティ投資を行ったとします。式①はENBIS(v)=[0.8－0.3]×0.9×100－28=17万円、そして式②の右辺は0.37×0.8×0.9×100≒27万円です。企業の投じた28万円のセキュリティ投資はこの27万円よりも大きいので、式②の関係を満たしていません。式②は企業に27万円を超えるセキュリティ投資は過大な投資であると言っています。しかし、残念ながらセキュリティ事象において、v、t、S（z,v）を具体的に求めることは簡単なことではありません。情報資産の価値が分かっていれば、式②より、情報資産価値の37％を上限とするリスク対策（セキュリティ投資）が可能ですが、対象の中小企業は情報資産を洗い出し、そのリスクを分析・評価できる能力に乏しいことが分かっています。原理的にはセキュリティ投資をどんどん大きくしていくと、脅威の成功確率を限りなくゼロに近づけることができます。しかし、式①より、このような過剰なセキュリティ対策は、最終項のzを大きくし、正味の利益を著しく低減してしまうことになるのです。セキュリティ対策を、事業継続の一つとして考えるなら、企業の利益を損なうような極端な対策あるいは禁止事項を避け、マイルドなセキュリティ対策を目指すよう注意する必要があります。従って、中小企業にとって、合理的と考える対策をそれぞれの業務に対して検討していくことになります。

| 詳細を表示

Powered by NetCommons2 The NetCommons Project