セキュリティを語る2つの視点（１）

　情報セキュリティーを語るタイプには2つのタイプがいる。「全体から眺めるタイプ」と「細部にこだわるタイプ」だ。どちらか一方で論理を展開する人を講演ではよく見かけるが、もう片方を何処まで理解できているか考えながら聞いたほうがいい。

全体から眺めるタイプ

　情報システムを全体から捕らえ、その一部として情報セキュリティを展開するタイプは、正論を述べているように見える。このタイプは、年齢が比較的高く、年収もIT業界でも高給の部類に属する。だけど、正直うさんくさい。よく聞いてみると、漠然とした解決策を提示するだけで、具体的な対策が欠落していることが多いので、怪しく感じてしまうのかもしれない。アドバイザー、コンサルタント、アーキテクトに多い。

　サラリーマンでいえば、業務の詳しい内容まで知らないが、全体的に物事を把握できるゼネラリストに相当する。厄介なのは、このタイプに日本の経営者は弱いことだ。なぜなら、経営者も同じように鳥瞰的に眺め、俯瞰して考えているから共鳴するのは納得できなくはない。

経営者が陥る失敗

　実際に、情報システムに詳しくない者が、突然CISO(情報セキュリティ執行役員）や個人情報責任者に任されることがある。本人はシステムの対応に悩む。そこで自分と同じ考え方をするタイプの人に支援を依頼する。そんなケースが非常に多い。その結果、成功したか失敗したか別にして、経営者や部門長以上に働きかけるには、全体から眺めて攻める方が有効なのは確かだろう。

　しかし、このタイプに仕事を任せた時に注意しなければならない点がある。全体的に見る流行に流されやすいことだ。イベントで講演するテーマを見れば、流行となるキーワードが出てくる。プライバシー、事業継続、情報セキュリティマネジメント、エンタープライズ・・・など、新しい言葉を活用する傾向がある。そんなキーワードに惑わされないようにすることだ。

　人の考え方は、新しい情報によって簡単に更新できるが、一度導入した情報システムは、少なくとも3年は使わないと元は取れない。それまでは導入したシステムは維持しつつ使い続ける必要があり、3年目には次期システムへの安定移行を行う費用が発生する。新規に情報セキュリティ対策を構築するには、構築費用、維持費用、そして次期対策検討費用となる。そこまで、全体から眺めるタイプは語らない。2年後に気づいた時には遅すぎた、ことは避けたい。2年後に、同じコンサルタントが更に洗練された考え方をイベントで披露しても、妬いてはいけない。（続く）