ITセキュリティの専門家の多くに尋ねれば、リスクは至る所に存在すると答えるでしょう。 パッチが適用されていないエンドポイント、新たなマルウェアの亜種、 フィッシング攻撃、シャドーITのクラウドサービス、公園のベンチに置き忘れられたノートパソコンなど、リスクは枚挙にいとまがありません。
少なくとも年に1、2回は、御社のリスク管理チームに対し、経営陣や取締役会にとって有意義な形で、組織全体のリスクを測定し、報告するよう求められることになります。
リスクの要因となる技術的な詳細がこれほど多いため、チームの皆様は、この重要かつ広範囲にわたる業務にどのように取り組めばよいか、お悩みになるかもしれません。 御社のセキュリティチームは、すでにマルウェアの亜種を追跡し、どのシステムに新しいパッチが必要かを特定しているはずです。 しかし、それらは御社の経営陣や取締役会が重視している数字なのでしょうか？ 四半期ごとにその数値が上下している場合、御社のチームはうまく機能していると言えるでしょうか？ もしそうお考えなら、取締役会もそう考えるでしょうか？
むしろ、本当の問いはこうです。組織のリーダーたちにとって役立つような形で、リスクをどのように測定すればよいのでしょうか？ あるいは、別の言い方をすれば、組織のリーダーたちがまずリスクのどの点が重要なのかを理解し、それを軽減するための適切な意思決定を行えるようにするためには、どのようにリスクを測定すればよいのでしょうか？
この記事では、経営陣にとって有意義な形でリスクを測定するためのベストプラクティスをご紹介します。 まずはそこから始めましょう――組織のトップから、そして、御社のリーダーたちが最も喫緊の課題であると判断した目標から着手します。
経営陣にとって重要なリスクの測定
ひとまずリスクについては脇に置いておき、代わりに経営陣や取締役会の活動についてお話ししましょう。 彼らは、組織の戦略的方向性を定める責任を担っています。 これには、管理職の下位レベルにおける意思決定や投資が、御社のトップレベルの戦略を確実に支えるようにすることが含まれます。
どのような事業に携わっていようとも、こうした高レベルの目標には、ほぼ間違いなく以下のものが含まれるでしょう：
- 事業継続
- データの機密性、完全性、可用性（データCIA）
- コンプライアンス対応
それぞれについて順に検討していきましょう。
事業継続に関連するリスクの測定
事業継続とは、事業を絶え間なく維持し、従業員の生産性を保ち、製造および出荷業務（該当する場合）を円滑に進め、さらに、石油の採掘であれSaaS製品の提供であれ、その他のあらゆる業務が、いかなる状況下でも確実に継続されるようにすることを意味します。
このカテゴリには、災害復旧が含まれます。 また、事業に不可欠なITサービスが、従業員、顧客、パートナーを含むすべてのユーザーをサポートするのに十分な容量を確保することも含まれます。
事業継続性とは、これらのサービスが、 などのDDoS攻撃 （新しいタブで開きます） といったセキュリティ上の脅威に耐えうることを意味します。また、設定ミスやその他のIT管理上のミスが原因で、従業員が必要なアプリケーションやITリソースにアクセスできなくなることが決してないことも意味します。
データの機密性、完全性、可用性に関連するリスクの測定
あらゆる業界において、人々はデータの重要性を認識しています。データはデジタル経済における「new oil (新しいタブで開きます)」であると同時に、その保護の緊急性も認識されています。 組織はこれまで、データの機密性を維持し、権限のあるユーザーのみがデータにアクセスできるようにするために、常に何らかの対策を講じてきました。
しかし、データの安全性を確保するという課題は、ますます大きくなっています。 まず第一に、機密データへのアクセスは、かつてないほど多くの場所から行われるようになっています。 その一因として、在宅勤務（WFH）を行う従業員が、IT部門によってテストや設定が行われたノートパソコンやデスクトップパソコンではなく、個人所有のデバイス（BYOD）をますます利用するようになっていることが挙げられます。
多くの組織で使用されているセキュリティツールは、主にローカルネットワーク上のエンドポイントに対応するよう設計されているため、これらのエンドポイントのセキュリティ状況を監視することは困難です。
また、企業は戦略的に、これまでとは異なる方法でデータを活用しています。 これには、社内外のデータを組み合わせることで、新しい製品やサービスを創出することも含まれます。 これは、新たな経営陣の一員として「最高データ責任者（CDO）」という役職が登場したことにも表れており、組織の方向性や財務状況においてデータがますます重要になっていることを示しています。
いずれにせよ、あらゆる業界のあらゆる組織は、 データの機密性、完全性、可用性を確保する必要があります。 （新しいタブで開きます） （あるいは、一部のIT業界では「データCIA」として知られています）。
規制遵守に伴うリスクの測定
データのプライバシーについて考える際、自然と、 （GDPR） （新しいタブで開きます） および （HIPAA） （新しいタブで開きます）といった規制が思い浮かびます。これらはいずれも、個人データの保護を義務付けています。
しかし、他にもさまざまな規制があり、それらは財務報告から人種差別に至るまで、あらゆる分野を網羅しています。 これらは、どの組織も違反するわけにはいかない規則です。 規定を遵守しない場合、多額の罰金、契約の解除、そして何年にもわたるイメージダウンを招く恐れがあります。
例えば、 ある英国の研究 （新しいタブで開きます） によると、規制上の罰則に起因する累積損失は、規制上の罰金そのものの9倍に相当することが明らかになりました。 その規模のリスクを承知の上で引き受ける企業はほとんどないでしょう。
コンプライアンス・リスクを効果的に測定するには、自社にとってどの規制が重要であるかを把握しておく必要があります。 次に、貴社がコンプライアンスを遵守しているかどうかを判断するのに役立つIT資産やプロセスを把握する必要があります。
戦略的目標に基づくリスクの枠組み
組織のリーダーの関心を引くためには、リスクやリスク測定に関する議論を、彼らの最優先の戦略目標という観点から展開するようにしてください。
何と言っても、ビジネス継続性、データプライバシー、および規制遵守に関する組織の中核的な目標を確実に達成させるのが、彼らの仕事なのですから。 もちろん、それらは、年間売上高の伸びや企業文化など、他の目標の達成にもつながる可能性があります。
そして、こうした指導者たちが会談する際には、まさにこれらの目標について考えているのです。 だからこそ、ITリスクを組織の戦略という文脈の中で捉えることが非常に重要なのです。
結論として
この投稿の冒頭で、リスクは至る所に存在すると述べました。 しかし、組織の戦略的目標に焦点を当てれば、考えられるあらゆるITセキュリティやコンプライアンスの指標を一つひとつリストアップすることに時間を費やす必要はなくなります。 その代わりに、会社が最高レベルの目標を達成する上で生じうるリスクを反映する指標の測定に注力することができます。
このシリーズの今後のブログ記事では、Taniumのリスク専門家が、リスクを測定し、それを貴社の経営陣に報告する方法について、さらに詳しく解説いたします。
とはいえ、ひとまず今はほっと一息つけるでしょう。 すべてのITシステムや運用プロセスから、考えられるあらゆるセキュリティおよびコンプライアンス指標を追跡するための膨大なスプレッドシートのコレクションを作成する必要はありません。
その代わりに、リスクを測定する際には、まず優先順位が付けられた目標リストを基に検討を始めることができます。 まだやるべきことは残っていますが、今はその焦点が定まっています。 また、あなたの報告書は、組織の方向性を決定するリーダーたちに理解されやすくなるでしょう。
Taniumが、データの可視性を高め、リスクを低減するお手伝いをどのようにできるか、詳細はこちらをご覧ください。 （新しいタブで開きます）
