インシデント対応の達人が語ったCSIRTブームに沸く日本企業への至言（3/3 ページ）

セキュリティインシデントへ組織的に対応すべくCSIRT構築に取り組む企業が増えているが、その道のりは平たんではないようだ。JPCERT/CC、日本シーサート協議会、ANAグループ、ラックのエキスパートによる議論が行われた。

[國谷武史，ITmedia]

企業が“その気に”になるためには？

　インシデント対応を企業に根付かせるにはどうすべきだろうか。

　まず、インシデント対応に限らずセキュリティ対策には資金が欠かせない。阿部氏は「企業として『何を守るのか』、スコープを決めることが大事」と話し、西本氏は、「セキュリティは投資か、コストかという議論があるが、それ以前に、企業にとってITが投資か、コストなのかを考えるべき。投資ならビジネスを動かすものであるべきだが、ITをコスト削減の手段と捉えている日本企業は多い」と提起した。

ANAシステムズ 品質・セキュリティ監理室エグゼクティブマネージャー ANAグループ情報セキュリティセンター ASY-CSIRTの阿部恭一氏

　真鍋氏は、サプライチェーンなど企業間取引の中でセキュリティが価値として認識され、ビジネスに貢献することに期待しているという。これに西本氏は、「まだ実際に聞いたことはないが、例えば、企業買収に伴う資産の査定でセキュリティ状況を評価するようになれば、セキュリティの重要性がより認識されるだろう」と答えた。

　阿部氏によれば、企業間アライアンスがおなじみとなった航空業界では、真鍋氏の挙げた観点がまさしく重要だと説いた。例えば、EUでは個人情報やプライバシーに関する規制強化の動きが進んでおり、国や地域の垣根を超える航空ビジネスへの影響は無視できないものだという。

---

　各氏からはインシデント対応におけるポイントが次のように示された。

• 「事象の大小にとらわれることなく、何を守るべきかを考えていただきたい」（真鍋氏）
• 「CSIRTはインシデントの対応能力を組織化であり、その活動はセキュリティの文化といえる」（寺田氏）
• 「個人情報に偏ることなく、営業機密などその企業にとって守るべき情報をしっかり認識することが転換点になる」（西本氏）
• 「（航空会社としての）社会を支える使命が脅かされてはいけない。脅威を知り、事前に対応していくことも求められる」（阿部氏）