WG外の識者の意見を参考に筆を進めたい。取り上げるのは、CSAジャパンの連携会員であるJNSAが発行するメルマガにて寄稿された「原則と現状のはざまで」と題するコラムである。セキュリティアーキテクトを務めておられる高橋氏である。ここで高橋氏は、IT・セキュリティに関わる原則(ポリシーやガイドライン等)の現状との乖離を指摘している。一般的なセキュリティアーキテクチャ、セキュリティポリシーは、そもそも10~20年前に確立した原則に基づくことが多い。ところが今やクラウドサービスに代表される最新テクノロジーについて、これを採用しない(あるいは大幅遅延)ことは、逆に事業運営の観点で経営リスクともなる。ITシステムがクラウド化することで、ベンダー、代理店やSIer、ユーザー(企業)の責任分界点が変化し、特にユーザーに求められるスキルが変わっている。いった変化を見落としてしまうことにより、セキュリティの原則と現状に乖離が発生しているのではないかというご指摘である。3つのクラウドアーキテクチャ(IaaS、PaaS、SaaS)のそれぞれの責任境界については、CSA発行のガイダンスはじめ、クラウド利用の原則として良く取り上げられるところであるが、高橋氏はユーザー企業の立場によるリスク負担について言及しておられる。この状況にCASBが何か貢献できないか、いくつかケースを想定してみた。・あるクラウドサービスが、信頼に足るかどうかを判定(自組織の要求事項を満たすかどうかの判断)・特定のクラウドサービス利用状況についての詳細モニタリング・その中でも不適切と思われる操作を強制的に停止・中断こういったケースではクラウドサービスの採用においてCASBが一定のリスクヘッジを実現し、クラウド活用を促進することができるように思われる。以下に全文を引用するのでぜひご一読頂き、各組織においてどうなのか一度ご検討、ご判断を頂ければ幸いである。本稿の引用を快諾頂いた高橋氏、JNSA事務局にはこの場を借りて御礼申し上げます。私が強く印象に残っている発言に、「IT・セキュリティ部門は提案を止めるだけなので、提案の際には、IT部門やセキュリティ部門ではなく、事業部門に提案をすべき」というものがある。衝撃的な話ではあるが、企業等の組織において、IT部門やセキュリティ部門が邪魔になっている。本稿では、この要因と考える、IT・セキュリティに関わる原則(ポリシーやガイドライン等)の現状との乖離について取り上げたい。これまで、20年近くベンダー側の立場でセキュリティに関わってきたが、昨年10月からユーザー企業のセキュリティ担当として働き始めている。同様に必要不可欠な専門職であると強く感じている。日々、多様な判断が求められるが、十分な知見が得られないまま判断せざる得ない場合も少なくない。適切にセキュリティ業務を行うための原則の重要性を認識する一方で、原則と現状の乖離が深刻な阻害要因になることも実感している。原則と現状の乖離の要因として、PDCAが「Plan通りにDoが行われていることをCheckし、必要なActを行う」として運用され、Planのチェックを行わない状況がある。このため、優れた新たな施策があっても、これまでの原則に従い採用を見送ることで、原則と現状の乖離が生じていく。Availability)に基づいたリスク分析では不十分で、事業リスクに基づいた「新たな施策を採用しない(事業)リスク」についても分析する必要がある。新たな施策の代表的な例としてクラウドサービスがある。ベンダー側の立場でクラウドファーストという言葉を使ってきたが、市場は明らかにクラウドファーストになっており、新たなクラウドサービス利用の相談を頻繁に受けている。その際に、セキュリティ対策状況分析を代理店に頼りたくなるが、日本に代理店が無い場合や代理店経由では適切な回答が得られない事があり、何よりも、代理店に頼っていては、すぐに使い始めたいという社内の要求に応えることができない。結局のところ、自分でWebや試用版を使って確認し判断することが求められる。ITシステムがクラウド化したことで、ベンダー、代理店やSIer、ユーザー(企業)の責任分界点が変化し、特にユーザーに求められるスキルが変わっている。この変化を見落とすことが原則と現状の乖離の要因となっている。原則と現状の乖離の問題については、ふたつの取り組みを行っている。CISO支援ワーキンググループの活動である。活動をはじめて既に2年が経過してしまったが、本年度中(2018年3月)のドキュメント公開を目指して作業を進めている。論会でこのテーマを取り上げ、有識者の意見を伺い議論を進めており、3月17日に開催する公開討論会でも、このテーマを取り上げていく。JSSMセキュリティ公開討論会のお知らせhttp://www.jssm.net/wp/?page_id=2880近年求められる情報セキュリティは、ITや経営と密接な関係にあり、その背景には、IT環境の大きな変革がある。セキュリティ対策は10~20年前のIT環境が前提であることも少なくない。現在の経営やITに沿ったセキュリティ対策を提案し実践していくことが必要だと感じている。連載リレーコラム、ここまで。その業務と関係するものではありません。コメントをキャンセルメールアドレスが公開されることはありません。