突然の規定準拠要求、費用はポケットマネー？ システム開発現場は自衛せよ：セキュリティ担当者の独り言

世間を騒がすようなインシデントが発生した後、システム開発の現場でしばしば起きがちな問題が、規定やガイドライン、政府統一基準などへの準拠対応だ。一筋縄ではいかないこの問題における開発現場の自衛策を紹介しよう。

[伊藤聡司，ITmedia]

　前回は、セキュリティインシデントによって停止したシステムの再開基準について説明した。今回はインシデントを経て企業や経営層、現場にどのような変化が訪れるのかを説明しよう。あらかじめ断っておくと、本稿は筆者の主観が含まれているため注意してほしい。

インシデント発生後に訪れる熱い掌返し……

　世を騒がすようなセキュリティインシデントが発生した後には、セキュリティ担当者には大きな変化が待っている。今まで後回しにされて提案時にはその必要性をとことん追求されていたセキュリティに対する無関心ぶりがウソのように逆転するのだ。

　多くの企業の経営層や上層部は、世間を騒がすようなインシデントが自社で発生したり、こうした報道を見聞きしたりすると、過剰なまでにセキュリティに対して敏感になる。「自社のシステムは大丈夫かどうか」「これから開発するシステムは大丈夫かどうか」を小まめに確認するようになる。

　中央省庁などでも監督企業に向けて、同様の事象を起こさないように入念にチェックが入る。だが省庁や自社の品質部門など監督する立場においても、セキュリティインシデントへの完璧な対応の判断が付かなかったり、完璧な対応の実現が現実的に難しかったりするというのが実情だ。そのため過去の規定や必要に応じて新たに追加した規定などを基に最低限クリアするべきラインを決定する。これが現場の苦悩を生む。

併せて読みたい関連記事

• 組織の階層で異なる「セキュリティ」への考え方　インシデントに対応する組織間の問題
• セキュリティ担当者はつらいよ　組織間で発生するギャップにどう立ち向かうか
• システム復旧には時間がかかる　現場担当者が考える再開に向けた4つの基準

ある日突然求められる規定への準拠　そのコストは誰が持つのか？

　システム開発や運用に従事していると突然、「自組織の開発規定」「入札要件」「RFP」（提案依頼書）などに、これまではなかった規定や基準が含まれており、「え、何それ……」と首をかしげた経験があるのは筆者だけではないだろう。

事例記事ランキング

• 本日
• 週間
• 月間

1. 日清食品HDのCIOが語る、生成AIの全社活用と自社環境構築の舞台裏
2. 三井住友海上のRPA導入、そのキーマンは知る人ぞ知るExcel VBAマスターだった
3. 元組み込みエンジニアの農家が挑む「きゅうり選別AI」　試作機3台、2年間の軌跡
4. サンリオの「キティちゃん」を支えるデータベースのチカラ
5. 借金10億円、倒産まであと半年――創業100年の老舗旅館「陣屋」をたった3年でV字回復させた方法

1. 日清食品HDのCIOが語る、生成AIの全社活用と自社環境構築の舞台裏
2. 借金10億円、倒産まであと半年――創業100年の老舗旅館「陣屋」をたった3年でV字回復させた方法
3. サンリオの「キティちゃん」を支えるデータベースのチカラ
4. 元組み込みエンジニアの農家が挑む「きゅうり選別AI」　試作機3台、2年間の軌跡
5. これを旅館と呼んでいいのか!?　老舗旅館「陣屋」が切り開く新たなビジネスモデル

1. 借金10億円、倒産まであと半年――創業100年の老舗旅館「陣屋」をたった3年でV字回復させた方法
2. 日清食品HDのCIOが語る、生成AIの全社活用と自社環境構築の舞台裏
3. サンリオの「キティちゃん」を支えるデータベースのチカラ
4. これを旅館と呼んでいいのか!?　老舗旅館「陣屋」が切り開く新たなビジネスモデル
5. 元組み込みエンジニアの農家が挑む「きゅうり選別AI」　試作機3台、2年間の軌跡