情報セキュリティ投資 最後は経営者の勘

　こんにちは、丸山満彦です。先日、日本経済新聞社主催のセキュリティ会議「企業の情報セキュリティ投資とガバナンス 」にパネリストで出ていました。セキュリティ投資の適正レベルが分からないのでどうしたら良いのか？というのがテーマのひとつでした。
　わたしは、その席上で、「最後は経営者の勘だ」という話をしました。知人から、「そんなことを言っても、何のソリューションにもならないじゃないか・・・。勘と言われても困る。」と言われましたが・・・

　
　情報セキュリティ対策に対する投資の妥当性の判断が難しい理由は、概ね次の理由だと思います。

①過去の経験が使えない
　(1) 歴史が浅い
　(2) 環境変化が激しい Moving Target

②効果が目に見えない
　(1) 事故が起こらなければ、投資効果は０に見えてしまう
　(2) 成功イメージが分かりづらい

③資金調達を必要とするほど大きな投資ではない
　
①は「判断材料が少ない」という話です。意思決定をする際には、過去の経験や他社事例などを判断尺度として行うのだと思います。しかし、その材料が少ない。なので、迷う。

②は「効果が見えない投資はしにくい」という話です。「営業所を10億円かけて新設したところ、毎年の利益が2億円増加した。5年で元がとれそうだ。」というのであれば、成功した投資といえるし、「毎年赤字ですよ。」というのであれば失敗した投資となる。結果がでるので、投資をしやすい。つまり、投資をする前から成功イメージと失敗イメージが多くの人の中で共有されている。しかし、セキュリティの投資は、失敗イメージと成功イメージが共有されていないし、評価の軸も程度も定まっていない。なので、迷う。

③は「意思決定コストが割りにあわない」と言う話です。①から意思決定のために必要な判断情報を集めるためには相当のコストがかかるでしょう。②から投資効果がよく分からないということが分かります。つまり、「意思決定にコストがかかるのだが、意思決定をした結果が見えないので、意思決定をするコストがかけられない。」ということになります。

　解決のためには、①判断材料を増やす、②投資効果を決める、ためのコストを社会的に下げる努力が必要だとおもいます。（＝＞経済産業省セキュリティガバナンス研究会に期待）

　経営者は善良なる管理者の注意義務が課されているわけで、経営者としての常識に照らした正当な注意を払っていたことを証明する必要があるのですが、そのためには「ベンチマーキングなどを利用して、自分の会社に置き直して経営判断する。」というのもひとつの方法だと思います。
　次に、投資した結果がどうだったかを判断する尺度をどうするか。可用性はまだ比較的簡単です。システム停止時間に対する機会損失をある程度の精度で計算できそうです。機密性と完全性が難しいです。漏えいは頻繁におこらないので目標値を考えるのは難しい。漏えいにつながる可能性がある行為（アクセス違反事例の数）などを指標として考えるのも一つの方法かもしれません。

　いずれにせよ、厳密に測定することはできない前提に立ち、様々な情報をできるだけ収集して評価をする。（株主への説明責任がありますから一定の合理性は必要。）

　しかし、経営資源は限られています。なるべく短い時間に効率良く意思決定していかなくてはなりません。そのためには、

１．投資額を決めてしまう（売上高の0.1%とか）
２．意思決定をする時間を決めてしまう（11月末までとか）

　はじめは、こういう方法でよいと思います。その後、徐々に精度を上げていく。意思決定を繰り返すことにより、経験を積む。

　何事も決断については、「最後は経営者の勘」です。経験をつむことにより勘の精度をあがります。
　経営者は意思決定をする人です。だから、どの程度の投資をしたらよいのか分からない、という経営者は経営者失格です。
　
　実は、経営者より下の層で迷っているような気もしていますが・・・

---

このブログの中の意見は私見であり、所属・関係する組織の意見ではないことをご了承ください。