情報セキュリティと一人情シス

近年ランサムウェア被害が問題になってきた。


病院や地方自治体などの公共分野の被害が増えるとメディアに取り上げられることも増えて社会問題化したことは記憶に新しい。

---

結論を先に、
・調査報告書には、正しいことが書いてあるが、どこまでが絵に描いた餅なのか、自社でどこまで実施可能なのか考えながら読むこと。
・自分の仕事を、ICTに疎い経営者に説明できる技術者は多くない。

---

報告書などでは、「情シス人材の不足」が要因の1つとして挙げられているようだ。
情シス不足はICT業界では、既に大きな問題になっている。
特に1人情シスや兼業情シスを抱える組織では、情シス担当者の目に見えない部分での貢献に頼っているから、この問題が社会的に知られることは良いことだと思う。

しかし、ことセキュリティ関係の案件に関しては、情シスだけではなく、情報セキュリティ技術者が必要だと思う。
そして、情報セキュリティ技術者を評価できる経営者はもっと必要だと思う。

情シス業務の中でも情報セキュリティ分野は特殊である。

〇 知識，技能

情報セキュリティ技術は、一般的なICTに関する知識、技能を習得して、その上に情報セキュリティの知識、技能が必要だ。
だから、いきなり情報セキュリティ技術者を育成するのは難しい。
経産省は数年前にセキュリティ技術者が不足するから、高度セキュリティ技術者や橋渡し人材を育成すると騒いでいたが、改善されたという話は聞かない。

さらに、リスク管理に関する知識、技能も必要だ。

経営上の判断は経営者の責任だ。
情報セキュリティ分野でのリスク管理において、リスクを取るか取らないかは経営者が意思決定しなければならない。

ICTに知見が無い経営者は多い。
しかし、経営者に必要なことは意思決定であってICTに関する知見ではないから、意思決定するための情報提供を外部委託すればよいだけのことだ。

ゆめゆめ1人情シスや兼業情シスが意思決定に必要な情報まで提供してくれると考えてはならない。
なぜなら、日々発見される脆弱性を理解して、自社のシステムへの影響を評価して、経営者が意思決定できるだけの情報を提供できるような、情シスはどこにでもいるわけではない。
もしいたら、その情シス担当はコンサルに転職した方が良い。年収は倍増だ。

〇 評価

情報セキュリティだけではなく、「安全」に関わる仕事は、ちゃんと仕事をすればするほど、評価されないというジレンマがある。

例を挙げると、警察官が交差点付近の物陰に隠れて見張っていて、違反者を検挙することが問題になることがある。
交差点付近のよく見えるところにいる方が、違反や交通事故が減るだろうという指摘は正しいと思う。
しかし、それを実行した警察官は評価されない。ひょっとするとサボっていると評価される可能性がある。

情報セキュリティ技術者は、インシデントを未然に防止したり、セキュリティリスクが減ったことは認識されることはない。

ランサムウェア被害の例では、VPN機器に緊急クラスの脆弱性が発見されたときに、

• 自社で使用している機器、OS、ソフトウェアに脆弱性があるか
• その脆弱性が悪用される状態か
• 悪用される状態ならば対策を調べ
• 対策を行い
• 脆弱性が悪用できないことを確認

これらの作業ができていれば、被害を受ける可能性は低くなり、被害に遭うことは無くなるだろう。
ところが、この担当者の作業を評価する者はいないのである。
当然、経営者が担当者の貢献を評価することはない。

逆に、被害を受けたときに、迅速に対応して、復旧、再発防止すれば、作業が目に見えるので評価されるだろう。（迅速に対応するには準備が必要だけれど）

被害を未然に防いでいる担当と、被害の対応にあたる担当を比較すると、前者の方が能力が高いし、会社の利益に貢献している。

しかし、会社に損害を与えている後者が評価されるのである。

ランサムウェア被害のニュースを見たときに、自社のセキュリティ担当のことを、考える経営者はいるのだろうか？
さらに、自社がランサムウェアの被害に遭わないのは、セキュリティ担当者が被害を未然に防止しているのか、単に運が良いのか、評価できる経営者はいるのだろうか？

〇 セキュリティ技術者

自分の仕事を、ICTに疎い経営者に説明できる技術者は少ない。
自分の価値や仕事の価値を説明できれば、多くの報酬を得ることが出来るのだが．．．

〇 報告書

ランサムウェアの調査報告書には、正しいことが書いてある。
しかし、どこまでが絵に描いた餅なのか、自社でどこまでが実施可能なのかを考えながら読むことが必要だろう。

---

最近の投稿
【Yoshiのよしなしごと】【Yoshiのブログ】【よしなしごと】【ほぼ1人情シス】