セキュリティの7Sについて追加しました。企業において、セキュリティ上一番えらい役職をCSOとかCISOと呼びます。Officer・最高情報セキュリティ責任者)今回は、CISOの役割や給料について読み解いてみたいと思います。100に入る企業にはCISOは導入されている一方、米国政府が初代CISOを設置したニュースや、50%ぐらいしか導入が進んでいないとする記事まだまだ導入が進んでいる役職だと思います。以前紹介したニューヨーク州のサイバーセキュリティ規制において、CISOを任命することが一つの規制として盛り込まれたため、今後金融業界では導入がよりいっそう進むことだと思われます。最高情報セキュリティ責任者。各対象事業者はサイバーセキュリティ・プログラムの導入と監督、およびサイバーセキュリティ・ポリシーの適用に責任を持つ適切な能力を持った個人を指名する必要がある。今回は、CISOの役割や給料について読み解いてみたいと思います。CISOの役割とは何か?そもそも、CISOの役割は何をすべきでしょうか?厳密に定義することは難しく、私がいろんなセキュリティ専門家に聞いただけでも、企業規模・業種により様々です。CISOが行うべき仕事のフレームワークは検討が進んでおり、いくつかその指針になるものが存在します。Rehman氏のブログで提唱しているもので、毎年更新されています。(画像は、ココから引用)2016年の資料では、大きく11種類の分野について考慮しなければならないと述べています。Hacker)というペネトレーション系資格で有名ですが、彼らが出している資格の一つにCISO向けの資格があります。この資格の有効性は受験したことがないためわかりませんが、CISOが知っておくべきという内容を体系立てたという点では非常に有益な資料だと思います。これによると、5つのドメインを学ぶ必要があります。(ISC)2もう一つに、CISSPの上位資格であるCISSP-ISSMPが挙げられます。こちらでも、5つのドメインについて定義されています。Managementセキュリティの7Sセキュリティの観点から組織を記述する方法として、マッキンゼーの7Sを応用するという考え方があります。tech.nikkeibp.co.jpCISOの役割は、組織のセキュリティを強化することです。言い換えれば、組織マネジメントを表す7Sを改善していくべきといえます。Value(価値観)CISOの組織における位置づけCISOの組織における位置づけはどのようなものでしょうか。Head(セキュリティ部門を率いる部門長)になることが多いと思われます。これも多種多様ではあり、組織ごとに異なる前提があります。議論1:CISOの上司は誰にすべき?RSAの調査やDeloitteの調査*1によれば、一番一般的な上司(レポートライン)はCIOで、州政府の場合は89.8%がCIOであるそうです。Officer)などの場合もありますので特に正解はないようです。RSAの調査によると、およそ7%のCISOのみがCEOに報告していると述べていますが、この記事はその点について問題提起しています。www.cio.co.uk上記の記事によると、CISOはCIOではなくCEOに報告すべきと主張しており、その理由を8つ挙げています。セキュリティは企業全体のビジネスにかかわる問題であり、IT部門のみの問題ではない。PwCによれば、CIOがレポートラインの場合インシデント起因によるダウンタイムが14%以上多く存在する。PwCによれば、CIOがレポートラインの場合、金銭的損失が46%高い。セキュリティ上の懸念によりITプロジェクトに遅延が生じるとき、CIOはセキュリティ上の懸念を無視する可能性がある。CIOは、ITの生産性を阻害するセキュリティプロジェクトの承認を渋る可能性が存在する。セキュリティプロジェクトのコストが高い場合、CIOはそのお金をITに割り当ててしまう。CEOをレポートラインとすることで、CISOとCIOはお互いに平等な立場になり、セキュリティとITの問題により明確に見渡すことができる。いくつかの規制は、CISOがCEOに報告することを義務付けている。*2全部が正しいかはわかりませんが、CIOの役割がIT戦略の立案・実行であることから、CISOとインセンティブが相反することも考えられるため、その意味では分けたほうがよいと考えられます。Headはなにが違うのかという点です。Securityチームなど)に対して指針を示し、技術的な責任を持つことが多いと思います。仕事が多くなると思います。あるグローバル企業のCISOは以下のように述べていました。)30%:マネジメント(予算・セキュリティチームのパフォーマンスなど)20%:セキュリティリスク(各部門とセキュリティの意向が衝突した場合の調整)セキュリティの技術的仔細には踏み込まず、あくまでもSecurityの意向を外部に調整したり、その逆を行ったりすることがメインな仕事だと思われます。CISOのプロファイルDigitalGuardian社がCISOがどんな特徴を持っているかをまとめた資料を公表しています。10の企業のCISOは以下の経歴だそうです。学位ではなく経営学の学位を持っているところが個人的には面白いと感じる部分で、先に示したとおり、ビジネスを踏まえた判断ができなければいけないことを意味していると思います。Securityに豊富の経験を持つ典型的に持つ資格は、CISSP・CISM・ITILCISOの給与は?CISOの給与ってどれぐらいなのでしょうか?少し古いですが、ForbesがSilverBullという会社を元に記事を書いています。(記事はココ、画像はココから引用)これによると、平均年収は204,000ドル(1ドル100円とすると約2000万円)であり、大体126,000ドル~311,000ドルの範囲となるそうです。CISOの給与が高い6都市を挙げています。個人的には、サンフランシスコが一番高いのが以外でした。??CSO・CISOは最高情報セキュリティ責任者ですが、重大なのインシデントなどがあった場合、米国ではその管理責任を問われ、首になるケースも多々あります。Officerなんという冗談を言われたりします。(Scapegoatは、生贄の意味です)まとめ今回はCISOの役割についてまとめてみました。CISOの導入を考えている方の参考になればと思います。*1:米国州政府に関する調査なので民間企業とは多少異なる可能性はあります。Attributionについて付け加えました。C...2019-01-15CISOの役割とは?(2019年度版)以前の記事でCISOの役割という記事を書きました。金融庁関連の話題を追加しました。Security』を再考するAnti-Intelligence技術について考えてみるスポンサーリンクはてなブログをはじめよう!security_consultantさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。