ITセキュリティ投資の難しさ

　事業を存続をするために、事業継続を脅かすリスクに対策を施すのは、経営として必要不可欠な投資だ。

　ITセキュリティ投資も、リスク対策の一つであるが、セキュリティ投資が経営判断として難しいのも確かだ。ITセキュリティは高度に専門知識を必要と領域なので、経営層が判断に困るのは当然ともいえる。

　また、ITセキュリティ状況は、日々変化しており、不断の情報収集と蓄積が必要な分野である事も経営判断の難しさを増している要因である。

　つまり、経営層から見てITセキュリティ投資は「投資の必要性と妥当性がわかりにくい」問題なのだ。

　昨今ITセキュリティ問題が頻繁にマスメディアに取り上げられているので、流石にITセキュリティ投資は一切不要だといった判断を下す経営者は少なくなっているが、ではどの程度投資するのが妥当なのかの判断は難しいのは変わりがない。

　ITセキュリティを確保するためには経営層が意思決定をするために必要な判断材料を提供することが必要不可欠なのである。そこで、長年企業の情報システム部門に携わってきた筆者の経験をもとに、経営層の心に響く

リスク評価がなぜ必要なのか

　ITセキュリティ投資の妥当性を判断するには、「客観性」「網羅性」「妥当性」が必要だ。

リスク評価をどう使うか

　リスク評価自体は判断材料の1つでしか無く、経営判断にはその他色々な要因を判断材料として加味する。判断の一例を紹介すると、以下のような判断がされる。


　リスク評価結果を有効に活用してもらうためには、ただ単にリスク評価だけをするのではなく、対策に必要なコスト、世の中の状況、今までの対応状況もあわせて経営層へ進言するのが早道だといえる。

【次ページ】リスクの算出方法