成果が見えないセキュリティ対策、4800人以上の担当者調査で見えた成功のヒント

　セキュリティ対策は攻撃側も防御側も日々の進化が目覚ましく、成果を把握しづらい取り組みだ。このため、多くの組織はセキュリティリスクの効率的な管理をはじめ、「セキュリティオプションの何を重視すべきか」「新しいテクノロジーは有益か」「インシデント対応手順の改善は必要か」といった問いに頭を悩ませている。

　そこで参考としたいのが、世界25カ国、4800人以上の専門家に対して行われたアンケート調査の結果だ。その切り口は、米国立標準技術研究所（NIST）などの複数の基準に基づく25種類のセキュリティプラクティスに関するもので、大きくは「ビジネスとガバナンス」「戦略と支出」「アーキテクチャと運用」という3つのカテゴリーに整理できる。

　「ビジネスとガバナンス」はセキュリティの重要性に対する経営者の理解やコンプライアンス関連など、「戦略と支出」は適切な戦略や予算・スタッフなど、「アーキテクチャと運用」はITチームとセキュリティチームの連携、セキュリティ対策の検証といった項目を含む。本資料では、これらの調査結果から、プラクティスと成果の相関性を分析し、今特に重点を置くべき取り組みを明らかにしている。