ネットセキュリティ団体、情報セキュリティ指標を策定

Center for Internet Securityが、企業がセキュリティへの取り組みを評価するための指標を策定した。

[Brian Prince，eWEEK]

　非営利組織Center for Internet Security（CIS）が間もなく、政府機関、企業、教育機関のセキュリティ専門家80人以上の意見に基づいたITセキュリティ指標を公開する。

　CIS指標は、組織がコンセンサスに基づく物差しを用いて自身のセキュリティへの取り組みを評価できるよう支援するためのもの。最初に公開される指標には、セキュリティインシデントが起きる平均間隔、ポリシー通りにパッチが適用されているシステムの割合、リスク査定を受けているビジネスアプリケーションの割合などが含まれる。

　ほかの指標には、ウイルス対策ソフトを導入しているシステムの割合、承認された基準に従って構成されているシステムの割合、セキュリティインシデントが起きてから復旧するまでの平均時間、本番環境への配備前にセキュリティ査定、脅威モデル分析、コードレビューを受けたアプリケーションコードの割合などがある。

　「企業のリーダーと情報セキュリティ専門家は、コスト効率の高いセキュリティ投資決定に苦労している。主な理由は、決定をサポートする、広く利用されていて具体的で一貫した指標がないことにある」とCISのバート・ミウッチオCEOは発表文で述べている。「議員や幹部は、自分たちの投資がどれほどの価値をもたらしたのかを理解したいと思っているが、成功の度合いを客観的に測定することがセキュリティ専門家にとって次第に問題になっている。こうした課題には、コラボレーションとコンセンサスによって最も効果的に対処できると思う」

　指標に加え、CISは年内に、組織のセキュリティ状況の匿名での比較、長期的なセキュリティパフォーマンスについてのコミュニケーション、セキュリティ慣行とその結果を関連付けるメカニズムを可能にするソフトウェアサービスを発表する計画だ。

　「新しいCIS情報セキュリティ指標サービスは、情報セキュリティ戦略策定やその実施状況の評価に欠かせないデータを提供する」とミウッチオ氏は言う。「このサービスは、サイバーインフラに頼っている企業が、情報の可用性、機密性、完全性を高めるためにコスト効率の高い投資決定を下す合理的な基盤になる」

原文へのリンク