トップ ／ コラム ／ セキュリティ対策が経営層に伝わらないとき

自社のセキュリティ対策が経営層に伝わらないとき｜何がどこまで守れているかを見えるようにする

セキュリティの話は、社内でかみ合わなくなりやすいところです。情報システム部門は製品を入れて運用も続けている。それでも経営層からは「うちのセキュリティは大丈夫なのか」という問いが繰り返し出てきます。答えているつもりなのに、次の会議でまた同じ問いが戻ってくる。

このとき足りていないのは、対策そのものではありません。入れている対策が何を守っているのかを、経営層と同じ言葉で見られる形になっていないだけです。

この記事では、認識の食い違いが起きる場所と、守れている範囲を社内で共有できる形にするまでの進め方を整理します。製品の選び方や設定の話ではなく、社内で同じ画面を見て話せるようにするまでの話です。

「対策はしている」のに、判断の材料にならない

多くの会社で、セキュリティ対策は実際に入っています。ウイルス対策のソフト、迷惑メールの振り分け、社外から入るときの認証、持ち出しの制限。担当者に聞けば、何をいつ入れたかはすぐ出てきます。

ところが、その一覧をそのまま経営層に見せても、判断には使えません。製品の名前と導入日が並んでいるだけでは、「それで何が守られているのか」「守られていないものが残っているのか」が読み取れないからです。読み取れないものは、投資の判断にも、やめる判断にも使えません。

その結果、次の2つが同時に起きます。現場は「必要なことはやっている」と考えていて、経営層は「よく分からないので不安なまま」になる。どちらも間違っていないので、話し合っても結論が出ません。

伝わらなくなるのは、だいたいこの5つ

社内の資料を見せていただくと、つまずいている場所はだいたい同じところに集まります。

• 製品の名前だけが並んでいて、何に備えるためのものかが書かれていない
• 「導入済み」としか書かれておらず、どこまで守れているのかが書かれていない
• 専門用語がそのまま出ていて、意味を聞き返しにくい
• 会議のたびに資料を作り直しているので、前回と比べられない
• 守る対象（止まると困る業務とデータ）の側から整理されていない

5つに共通しているのは、どれも「入れたもの」の記録になっていて、「守れている範囲」の記録になっていないことです。記録の向きが違うので、足し合わせても判断の材料になりません。

食い違いの原因は意識の差ではなく、同じ尺度がないこと

現場と経営層で認識がずれていると、「経営層の関心が薄い」「現場が説明を省いている」という話になりがちです。ただ、実際に資料をそろえてみると、原因はもっと単純なところにあります。両者が同じ尺度を持っていないのです。

製品の一覧は尺度にはなりません。製品Aと製品Bを並べても、どちらがどの範囲をどこまで守るのかは名前からは分かりません。担当者の頭の中では対応関係がついているのですが、それは資料のどこにも書かれていないので、見た人は同じ理解に到達できません。

尺度になるのは、「どういう攻撃や事故が起きうるか」という共通の軸です。この軸は会社が違っても大きくは変わりません。メールを入口にした侵入、ソフトの古い穴を突かれる、外に出しているサービスへの不正なアクセス、持ち出しや誤送信、取引先や委託先を経由した侵入。こうした形で並べ直すと、はじめて経営層と現場が同じ行を見て話せます。

同じ軸で並べると、もうひとつ良いことがあります。空いている欄が見えます。対策の側から並べているあいだは、入れていないものは資料に出てきません。攻撃の側から並べれば、備えのない行が空欄として残るので、議題にできます。

「どの攻撃に、どこまで」で並べ直す

並べ直すときの形は、1行が1つの攻撃や事故の形、列が「自社で起きるとどうなるか」と「いまの備えの状態」の2つです。備えの状態は、守れている／一部だけ／まだ手を付けていない の3つに分けると、経営層も読めます。

「一部だけ」の行には、必ず一行で中身を書きます。「本社は入っているが、営業所は対象外」「正社員の端末は自動更新、派遣の方の持ち込み端末は手作業」のように書くと、次に何をするかがその場で決まります。3段階に色を付けるだけで中身を書かないと、半年後に誰も覚えていません。

なお、備えの中身そのものについては セキュリティは何から手をつけるか｜専任がいない組織のための5つと、その順番 に分けて書いています。この記事は「並べ方」の話に絞ります。

会議のために作る資料は、作った日で止まる

並べ方が決まったあと、もうひとつ決めておくことがあります。その表を、誰がどうやって最新にするかです。

会議のために手で作った資料は、作った日の状態で止まります。次の会議までに端末は増え、更新は当たり、担当者は代わっています。それでも資料は変わらないので、3回目くらいから「この数字はいつのものですか」と聞かれ、答えられなくなって使われなくなります。協会・団体の事務局で起きる 毎回数えなおす資料づくり とまったく同じ構図です。

続く形にするために決めるのは、次の3つだけです。

• それぞれの行の数字を、どこから取るか（資産の台帳／更新の管理画面／アカウントの棚卸し表／委託先の一覧）
• 取り込みを自動にするか、月に1回の手作業にするか
• 止まったとき、誰がいつ気づくか

全部を自動にしなくてよい、というのが実際のところです。更新の状況は管理画面から自動で取れても、委託先の確認状況は人が書き込むしかありません。自動の行と手で書く行が混ざっていてよく、混ざっていること自体を表に書いておくのが長く使えるやり方です。

相談の前に自社でそろえておく6ステップ

開発会社に相談する前に、社内で済ませておけることがあります。ここがそろっていると、話が早く進みます。

1. 止まると困る業務とデータを3つまで挙げる。多く挙げるほど優先順位がつかなくなるので、まず3つに絞る
2. いま入れている対策を、製品名ではなく「何に備えているか」で書き出す。書けないものが出てきたら、それも記録する
3. 攻撃・事故の形ごとに、守れている／一部／未着手 を自分たちで埋めてみる
4. 埋められなかった欄に印を付ける。印の数が、最初に話し合う議題になる
5. それぞれの数字をどこから取れるか（台帳・管理画面・報告書・委託先の一覧）を確認する
6. 経営層に見せる画面を1枚にするか、部門ごとに分けるかを決める

1〜4は社内の話し合いだけで進みます。5ではじめて、どこまで自動で取れるかという技術の話になります。順番を逆にして「まず仕組みを作ってから中身を考える」と、置き場所だけができて誰も入力しない表になります。ヒアリングシートの7項目も、同じ順番で埋める形にしてあります。

既存の業務システムや資産管理の仕組みに手を入れずに、外側で集めて表示するだけで済む場合もあります。その見分け方は 基幹システムを止めずに新しい仕組みを足す方法 に書いてあります。

pegのやり方

pegは、大手金融機関で、セキュリティレベルを可視化する体制をつくる案件を担当しました。社名は出せませんが、そのときに伺っていた困りごとは次のものでした。

• どのセキュリティソフトで、どう対策を行うことで、何がどう守られるのかが見えていない
• IT部門・セキュリティ部門の専門家であれば理解できる内容が、経営層に浸透していない
• そのため、自社のセキュリティレベルについて、現場の担当者と経営層で認識が食い違うことがあった

やったことは、セキュリティの専門用語、サイバー攻撃の種類、頻発しているサイバー問題と照らし合わせて、自社のセキュリティレベルを簡単に可視化できる体制を構築することでした。製品を入れ替えたのではなく、すでに入っているものが何を守っているのかを、同じ軸で並べて見られるようにした、という仕事です。

進め方は、ほかの案件と同じです。機能の一覧からは入りません。日本眼科医会の会員管理システムでも、事務局の業務を伺うところから始め、試作画面（モック）で見え方と操作の流れを確かめてから中身の開発に入りました。可視化の仕組みは「見せ方」が仕事の中心なので、画面を先に見ていただく進め方がとくに合います。

契約の面では、次を決めています。プログラム・設計資料・管理者権限は納品物として契約に明記します。支払いは着手・画面確定・納品の段階払いにします。どの案件も必ず2名以上で担当し、引き継ぎ資料を常に最新にしておきます。納品後3か月の不具合対応は無償で契約に入れています。使う技術は、確立されたものと標準の型に絞ります。

新しい道具を社内に入れるときにも、同じ順番が使えます。先に「いまどこまで守れているか」が見える状態になっていれば、新しく増える範囲だけを足して見ることができます。見えていない状態から始めると、新しい道具の議論が「安全なのかどうか」の一点で止まりがちです。

よくあるご質問