ネットワーク推進協議会(総務省郵政事業庁)委員など多数。いたずらに事故を恐れる企業が多い情報セキュリティ監査の質を保証する仕組み情報セキュリティ対策が企業の格付けにも影響いたずらに事故を恐れる企業が多い――第1回では、ここ1年の情報セキュリティ事故と企業の対応策から、日本企業の情報セキュリティに対する意識について総括していただきました。その中で、「ITの利便性とセキュリティの強度について、バランスを配分しながらビジネスを進める必要がある」というお話が出ましたが、その点について現在の企業はどのような認識があるのでしょうか。我々JNSAでは、よく「セキュリティを陰の存在とするな」といっています。いま企業には、セキュリティに対する恐れ、引いては情報に対する恐れというのがあると思うのですよ。「外部に流出したら困るから、個人情報は取らない」とかね。そもそも、個人情報の取得には「ビジネスを良くしよう、顧客サービスを改善して売り上げを上げよう」という目的があるはずなのですけどね。Management)等のナレッジマネジメントは、顧客性向を解析し、顧客の側に立ったビジネスを追求することで、ビジネスの改善・向上を図ろうとするもののはず。「漏れたら恐いから、個人情報は取らないでおこう」というのは、成長し続ける企業の姿としては何か違うのでは、と考えてしまいます。経済産業省では、いま「ユーザーサイドのセキュリティ対策」に重点を置いた施策やガイドラインを策定しようとしています。これまではサプライサイド、つまりセキュリティ対策の製品やソリューションを提供する側に主導権が置かれていたわけですが、これからはそれを使う側の姿勢が問われるわけです。コーポレートガバナンスとしてセキュリティ対策をとらえるということですね。コーポレートガバナンスとか、あるいはCSR(企業の社会的責任)の観点からセキュリティを考えていかないといけない。そのとき「経営者自身がセキュリティ対策についてよくわかっていない」という壁に突き当たるケースがあるのです。投資判断ができないのです。そこで、どうしても「お金は出さないけれど、頑張ってセキュリティ対策をしてくれ」という“根性論”が出てくる。事故が起こってからあわてて対策を練ったりソフトを導入したりしても遅いわけで、まず「事故前提社会」という認識に立って、事前に対策を立てておくことが重要なのです。JNSAでは「インシデントの被害調査」を行っており、その報告書ではインシデント被害額の算出式などを公開しています。あれはなかなか興味深いですね。ありがとうございます。あの算出式も、企業が具体的に対策を立てる際の投資判断の目安に利用していただきたいと思っているんですよ。したセキュリティ投資に対する判断の目安は、時間が経てば市場で育っていくとは思いますが、セキュリティ技術の進歩は本当に速いので、ある程度までは国のサポートも必要なのではと思っています。そこで、「企業経営におけるIT事故に関する研究会」というものを早々に立ち上げ、その中で各種ベンチマークを設定したり、「IT事故データベース」というものを構築したりていこうという構想があるのです。いまはどの企業も、「どんな対策をどのレベルまでやればいいのか」と悩んでいる段階ですからね。ベンチマークの設定は大きな意味があると思います。いま、ガイドラインや制度はあります。次に、「どこまでやればいいのか」というベンチマークと、実例を集めたデータベースでもって、「この程度だと、こういう事故が起きる可能性がありますよ」ということを示そうと考えているんです。JapanTetsudo.com当サイトは最新ブラウザでの閲覧を推奨します。広告について当サイトは最新ブラウザでの閲覧を推奨します。permission.このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。