長い間、人々は安全な方法でコミュニケーションを取ろうと努力してきました。その一方で、セキュリティ対策を破ろうとする試みも存在し続けました。現在と過去との違いは、今日は、セキュリティの専門家がグローバル企業と世界経済を保護しようと努力している点です。

例えばサンでは、セキュリティ・チームが、170ヶ国に亘って3万8千人を超える従業員を擁する組織の情報資産のセキュリティ対策を担当しています。更に、今日の人々の働き方に対応して、サンは、場所と時間を問わず、あらゆるデバイスによる情報へのセキュアなアクセスを提供しています。

脅威は複雑になる一方です。しかし一般に、大方の脅威マトリックスは、スパム等の古典的な侵入から、企業のセキュリティ上の弱点を探しだす為に高度な偵察を行なう人々による、極めて入念な企みへと変化しています。脅威は、トラブルを引き起こすだけの子供から、犯罪を目的とした経済スパイにまで及び、また、その間を埋めるあらゆるタイプが加わって、多岐に亘っています。

そうです。私が最も危惧している事の1つが、ソーシャル・エンジニアリングです。こうした手段を用いると、先程おっしゃった様な保護対策を簡単に回避出来ます。戦いを学んだ人なら誰でも、強みでなく弱点を攻撃するほうがより道理に適っていると言うでしょう。卓越したソーシャル・エンジニアであるKevin Mitnick（ケビン・ミトニック）氏は、「The Art of Intrusion」（ハッカーズ　その侵入の手口）という本の中で、ソーシャル・エンジニアリングを使って企業の保護対策をどの様にすり抜ける事が出来たかを解説しています。脅威が一度城の中に入ってしまえば、企業は、侵入された事や、その結果重大なIPの損失が起こりかねない事を、知る事さえ出来ない場合があるのです。

その通りです。グローバル・パートナー、新しいビジネス・モデル、各国の法的要件等、全てがセキュリティ問題の複雑さを増幅しています。法的要件に関しては、サンは、170を超える国々でビジネスを行なっており、国によって法規が異なる事はよくあります。自社の計画には、こうした全ての規則を考慮に入れています。更に、サンは 自社の全てのソフトウェアをオープンソース化する様努力していますが、極めて知的財産中心の企業でもあります。

この為、セキュリティは、自社のIPを保護し、関連する全ての法規に準拠するものでなければなりません。幸い当社には、顧客企業向けに開発された、こうした対策に大いに役立つ優れた技術とソリューションがあります。最後に、リスク管理と連携させる事で、自然災害発生時の業務へのリスクを軽減する総合的な災害復旧計画を備えています。

1つに、価値命題という領域があります。CEOは「投資」について質問しなければならない時に、「経費」に関する質問を投げかける事がよくあります。この記事をお読みになる多数のCISOとCSOの皆さんは、ビジネス意識を高く持つ必要があります。セキュリティの専門家にとって、自分の業務の価値を証明する事は非常に困難です。どなたか最高情報セキュリティ責任者に聞いてみて下さい。彼らは、企業を保護するインフラストラクチャの価値を経営管理者に説明するのに役立つ価値計算書や脅威マトリックス、その他の書類を準備しています。

残念ながら、人は誰しも受身的になりがちで、何かが起こってから行動しようとします。とは言うものの、セキュリティの専門家は、セキュリティに関する情報を経営者（又は取締役会）に提示する責務を負っているので、企業は、事前に行動する事の本当の価値を正しく評価する事が可能です。

企業としての2つ目の問題は、熟練したセキュリティの専門家です。彼らは、セキュリティ管理チームの中心です。私のアドバイスはこうです。彼らの技能を保ち、必要なトレーニングを全て受けられる様支援して下さい。3つ目は、システムを導入した事によって低減された投資やリスクのパフォーマンスを明確に示す測定基準を持った、総合的なセキュリティ管理システムを構築する事です。最後に、経営陣、あなたが導入したセキュリティ・プログラムの積極的なサポーターにする事です。

あなた自身がおっしゃった様に、全てはリスクの問題です。基本的に、企業は、脅威の深刻度、及びその脅威が現実となる可能性に基づいて投資を行なう必要があります。あらゆる情報セキュリティ責任者が、絶対的な数値によるリスク要因を特定の脅威に帰するのは、極めて困難だと言うでしょう。例えば、個人情報の侵害は、株式公開企業の市場価格に影響を及ぼすのが常ですが、株主が失った利益の正確な金額はどうやって算出するのでしょう。

多くのセキュリティの専門家が、予防の為の出費（私が「投資」と呼ぶものです）は通常、修復に関連するコストの100分の1だと声を大にして述べるのは、この為なのです。これは、従業員にとっても、顧客にとっても、ビジネスにとっても良い事です。

最終的な頼みの綱は、強力なセキュリティ・ポリシーです。全ての企業に、一連の強力なポリシーが必要です。これらのポリシーによって、企業がセキュリティ戦略を導入する際の方法と、その戦略を推進する為の運用手順が決まります。更に、これらのポリシーは、最善の業界標準に基づいて構築される必要があります。

セキュリティ・ポリシーが決まったら、企業はこれらの業界標準を用いてセキュリティ・ポリシーを実装し、その実装を監視しなければなりません。これは、監査の時期には特に重要です。監査に際して、監査役は先ず、ポリシーがあるかどうか、また、そのポリシーが実装されているかどうかを訊ねます。その次には、何か業界標準を採用しているか訊ねるでしょう。これらの質問に「はい」と答えられれば良い評価が得られます。

もう1つの重要なツールは、マルチレイヤー型保護対策の採用です。企業が複数のレイヤーによる保護対策を講じていれば、突破するのがより難しくなります。また、こうした保護対策は、マルチレイヤーにするだけでなく、マルチベンダーにしておく必要もあります。1つのレイヤーを突破出来たとしても、異なるベンダーのテクノロジをベースにしている場合は特に、その他のレイヤーを突破するのがより難しくなります。

たくさんあります！チャネル戦略に基づくものか、IT分野におけるベンダー調達によるものかを問わず、サンには多くのパートナー企業があります。サンのパートナー企業は、当社のデータセンターやネットワークを運用し、ウィルスやスパムのフィルタリングを行なっています。

サンは、最善の戦略を採用してコストを抑え、柔軟性を改善し、企業のセキュリティをよりスケーラブルにしています。また、アイデンティティ管理、アクセス管理、ディレクトリ・サービス等、自社のセキュリティ製品も実装しています。サンはお客様に、ありとあらゆるハードウェア、ソフトウェア、サービスを提供しているので、当然ながら、社内でもこれらの資産を活用しています。

サンは1日に4千万通以上のスパム・メッセージと2〜3百万のウィルスをフィルタリングで排除しています。また、ネットワーク上及びサン社内のゲートウェイにウィルス・フィルタとスパム・フィルタを設置して、ウィルスの拡散を防止しています。サンには認証チームもあり、このチームの同僚たちは、24時間365日体制でのネットワークの監視を支援しています。インシデントが発生すれば、その都度直ちに報告され、対応が取られます。更に、サンはネットワークベースの侵入センサーを実装している為、誰かがサンのネットワークに侵入しようとすれば、当社のチームが対処します。ネットワーク周辺の保護に関して、サンは極めて余念がありません。

セキュリティの観点から言うと、サンは絶えず、増殖するデバイスと格闘しています。これはファット・クライアントかシン・クライアントかというだけの問題ではありません。数々の新しいポータブル・デバイスやワイヤレス・デバイスが存在し、その全てがネットワークに接続します。サンは、自社の個人情報保護管理責任者と連携して、個人情報流出のリスクを軽減するあらゆる対策を講じています。

IPの喪失は、少量でもトラウマになるほど衝撃的な事件ですが、サンでは万が一個人情報が流出したり、或いは個人情報の侵害が疑われるだけの場合でさえも、これを報告する義務があり、重大なペナルティを受ける場合もあります。企業は新しいデバイスに気を配り、これらを慎重に管理し、保護対策を実装し、従業員にその適切な使用法を教育する必要があります。

より規模の大きい企業と同様、中小企業も、強力な一連のセキュリティ・ポリシーを作成し、自社で開発したセキュリティ管理システムの基礎を業界標準に置き、それをビジネス目標に基づいて配置する必要があります。もし企業に大量の資金やリソースがない場合には（又は例えそれがあったとしても）セキュリティの専門家が取る事の出来る最も有効な対策は、セキュリティ管理システムの一部として、セキュリティ意識の高いプログラムを導入する事です。これは明らかに、有益でコスト効率の高いプログラムです。

サンでは、3万8千人を超える従業員全員が、常にセキュリティについて考える必要があります。これにより、コストが抑えられます。この事は、当社の従業員及び株主の利益の保護につながります。また、場合によっては、ビジネスの前提条件となります。それは単なる出費でなく、新しいビジネス・チャンスを生み出します。 「セキュリティ内蔵」でビジネスを拡大する事も可能です。

何度か述べた様に、完全なセキュリティ管理システムを企業全体に亘って実装する事が、あらゆるセキュリティ・ポリシーを成功に導く鍵です。IT組織とは、企業のセキュリティのあらゆる局面の結合を表す概念です。サンにおいて、私は、実際にセキュリティを担うスタッフ、製品グループのスタッフ、個人情報保護管理責任者、法務及び監査の専門家、輸出管理担当者と協力して仕事をしています。セキュリティにおけるこれら全ての局面は、経営目標をサポートする様結合され、調整される必要があります。リスクベースで、しかも、安全な方法でそれを行う事が我々の仕事です。