職業としてのセキュリティ–単純で深刻な「誰がセキュリティを運用するのか」問題

今回は「職業としてのセキュリティ–単純で深刻な「誰がセキュリティを運用するのか」問題」についてご紹介します。

関連ワード （セキュリティ、企業セキュリティの歩き方等） についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。

　本連載「企業セキュリティの歩き方」では、セキュリティ業界を取り巻く現状や課題、問題点をひもときながら、サイバーセキュリティを向上させていくための視点やヒントを提示する。

　前回は、運用に高度な技術が必要な最新セキュリティ製品が安易に日本市場で普及してしまったことや、それが非常に短絡的な動機によるものだったということを述べた。

　こうなった理由は、ユーザー企業自身が経営リソースを投入してITの技術力を高めることを放棄し、ITベンダーに依存した状況に陥ったことと、ITベンダーにセキュリティに強い技術者がごくわずかしかいない事実を見て見ぬふりをしたことがある。

　この2つの要因を背景に、社内にリソースが少なくITベンダーに頼るしか選択肢がないユーザー企業は、実際にどう運用するかを無視しながら、ベンダーの言うままに最新のセキュリティ製品を導入し続けた。これは純粋に、ITベンダーにそれができる技術者がいなかったからだが、防御力を高めるはずのセキュリティ製品が結果的にその効果を発揮しない状況が散見されるようになった。

　先述したように、ITベンダーに悪意はなかった。ただ、サイバー攻撃の本質や知見を理解しないままユーザー企業の要望に応える形で、ユーザーの予算に合わせることに重きを置いた（＝運用を無視した）セキュリティ製品の導入にまい進してしまった。それが長きにわたりセキュリティ業界の“常識”となってしまったのだ。今回は、このセキュリティの運用の問題をもう少し深堀りし、ITベンダーとユーザー企業の双方が踏み込むことが難しかった「誰が運用するのか」問題の深層に触れていく。