動画の再生障害のお知らせ:動画の一部が再生できない事象が発生しています。日経SYSTEMS2018.09.26コピーしましたPR弱い部分から重点的に対策――。セキュリティコストの最適化には、リスクの優先順位付けが欠かせない。無料で利用できるWebサービスでリスク分析が可能だ。セキュリティ対策には「ここまで実施すれば安全」といった指標は存在しない。ビジネスメール詐欺の例からも分かるように、いくらコストを費やしてもサイバー攻撃を完全に防止することは不可能に近いのが現状だ。何でも対策するのではなく、限られたコストの中で、企業にとって重要な部分だけを重点的に守るという方針だ。セキュリティ対策の優先順位を決める[画像のクリックで拡大表示]では、重要な部分をどう見極めればよいのか。これには、自社に潜むリスクを洗い出し、それぞれのリスクがビジネスにどのような影響を与えるのか、を分析することが欠かせない。鴨田浩明サイバーセキュリティ統括部長)という。想定される被害が小さい攻撃の対策にコストを費やしても効果は薄い。Webサイトを持っているがECサービスは行っていない場合などだ。Webサイトが自社紹介だけなら、短期間の停止は許容しやすい。Service)攻撃の対策は必須とはいえないだろう。このような対策にコストを費やすよりは、情報漏洩対策などにコストを割いた方がよいというわけだ。網羅的にリスクを把握する企業内に潜むセキュリティリスクを洗い出すときに参考になるのが、セキュリティベンダーやSIerが実施している分析手法だ。NRIセキュアテクノロジーズでは、リスク分析に「ベースラインアプローチ」と「リスクベースアプローチ」という2つの方法を使うことが多い。前者は、あらかじめ実現すべきセキュリティレベルを設定しておき、システムや組織が目標とするセキュリティレベルに達しているかどうかを判断するものだ。レベルに達していない部分に重点的に対策を施す。石川朝久セキュリティコンサルタント)。後者は、ある特定のリスクを防止するために必要な対策を取るアプローチだ。PCのデータを人質に取って身代金を要求するランサムウエアであれば、メールに添付されて社内に入り、社員がクリックすることで感染する、というようにリスクシナリオを立てて、侵入経路のフィルタリングや攻撃に対する防御方法を決めていく。ベースラインアプローチに比べると網羅的ではないが、特定の攻撃に対しての防御を強化できるのが特徴だ。ベースラインアプローチでは、どこまで対策すればいいのかという基準が必要だ。SketCH」というWebサービス(https://www.secure-sketch.com/)を2018年4月から開始している。この記事は有料会員限定です「日経SYSTEMS」定期購読者もログインしてお読みいただけます。26社DX戦略レポート。DXで成果を上げるために不可欠な情報がこの1冊に。現場の負担軽減を!医療界でのAWS活用法500万社が導入。情報銀行の成り立ち、事例、現状課題やその行方を網羅。経営戦略である以上、「会計」の知識やスキルが欠かせません。