ROI：セキュリティ投資を正当化するための専門家のヒント

IT セキュリティにおける ROI の難しさ

ここ数か月、私はセキュリティ支出の必要性を説明することが求められている点について、何度もさまざまな会話を重ねてきました。今年は多くの組織にとって大変な年だったため、IT予算は一般的に増えていません。さらに、すでに割り当てられていた資金も、変化するビジネスニーズに対応するために、しばしば優先順位を付け替える必要がありました。同時に、経営陣や取締役会のメンバーは、今日のサイバーリスクと、注意を払わないことによるコストを痛感するようになっています。彼らは、ITチームやITセキュリティのリーダーが、最も効果的なセキュリティ投資の意思決定を可能にする、確かなデータ根拠を提示することを期待しています。

多くの企業で私が会話をしている中でも、ここで思いがけない“行き詰まり”が起きがちです。何十年もの間、IT（およびITセキュリティ）は純粋に技術的な分野として扱われてきました。そして、優れた技術者がITのリーダー職へと昇進してきたのです。どんな高度な技術的な質問にも説明してくれる一方で、全員が「ビジネス」の言葉を話せるわけではありません。その結果、会話の両側が生産的な判断にたどり着くのが難しくなります。

多くのITリーダーにとってのもう一つの課題は、頼れる“根拠となる事実データ”が不足していることです。テクノロジーの世界では事実に基づいて作業し、正確で、かつ反証可能な（説明責任を果たせる）測定値を持っています。たとえば、一定期間におけるインシデントの件数や、脆弱なサーバーをパッチ適用するまでに必要な時間を報告することはできます。しかし、仮定や確率の領域に踏み込まずに、安全投資によって期待できるリターンをどう示せばよいのでしょうか。これにより、多くのIT担当者（私自身も含めて）が、自分たちの慣れ親しんだ領域から押し出されてしまいます。

これらの気づきをきっかけに、世の中にどんな選択肢があるのかを見てみましょう。

ROIの4つの柱

人・プロセス・技術など、セキュリティへの投資について話す機会があるときは、いつも1つの質問を投げかけるようにしています。『これはどのように回収できると思いますか？』答えは人によって大きく異なりますが、次の4つのカテゴリのいずれか、または複数に整理できます。

• この投資は、継続的なコストを削減することで、私たちの資金を節約します。
• この投資は、契約上の義務、または業界や政府の規制を遵守するのに役立ちます。
• この投資は、ビジネス上のリスクを（発生確率、影響、またはその両方を下げることで）低減します。
• この投資によって、新たなビジネスチャンスを追求できるようになります。

4つの要素はいずれも、投資するのに十分な理由に見えます。では、各要素は会話の中でどこに位置づけられ、どのようにまとめればよいのでしょうか。まずはそれぞれの要素を順番に見ていきましょう。

運用コストの削減

コスト削減は、ROIを測る最もわかりやすい指標の1つです。特に、CIOまたはIT部門の責任者がセキュリティの責任も同時に負っている場合はなおさらです。プロジェクトによってストレージ容量を削減したり、ライセンスを統合したり、または自動化により時間と手間を減らせるなら、回収（リターン）を合理的に高い確度で見積もることができます。

ここでの注意点は、これが投資の唯一の理由であってはならないということです。IT セキュリティの主な目的はリスクを管理することですが、そこから出発しないどんなプロジェクトでも、自分自身に不利益をもたらしてしまいます。とはいえ、コスト削減は、会社が重視しているリスクを下げる取り組みに投資するための追加の理由としては非常に有効です。

コンプライアンス

組織は、事業を継続するために、関連する規制に従わなければならないことを理解しています。多くの IT セキュリティチームはこれを活用し、新しいセキュリティ施策をコンプライアンスに必須のものとして位置づけます。「コンプライアンスを使ってセキュリティ施策の資金を確保しよう」というヒントを、専門コミュニティやカンファレンスで聞くことも珍しくありません。

一般的に、規制は特定の種類のデータや活動を保護するための最低限のガイドラインを定めようとするものです。とはいえ、どの規制も、特定の時点における現在の脅威に対して、自社のビジネスを守るための“万能の手引き”を提供できるわけではありません。

コンプライアンスは、ROI（投資対効果）についての会話を始めたり、経営陣が本当のリスクを十分に認識していない、成熟度の低い組織で注目を集めたりするうえで、有効なきっかけになり得ます。とはいえ、これは場合によっては危うい考え方でもあります。どのようなコンプライアンスのチェックリストであっても、項目に全部チェックを入れたからといって、それに基づく“誤った安心感”に流されてはいけません。

もう一つ避けたい落とし穴は、IT セキュリティ チームを「必要な悪」と見なされるような印象を作ってしまうことです。経営陣はそれを許容し、場合によっては資金まで付けるかもしれませんが、可能なら喜んで手放したいと思うはずです。

予算の話し合いの場でコンプライアンスを持ち出すべきではない、と言いたいわけではありません。むしろ、自社の業界と管轄地域における現在および今後見込まれる規制要件を把握しておく必要があります。とはいえ、運用コスト削減と同様に、セキュリティ投資の正当化の主な根拠としてコンプライアンスに過度に依存するのは、誤りだと思います。

リスク低減

あらゆる IT セキュリティ組織の主な目的は、リスク管理とリスク低減（緩和）です。しかし、リスクを理解することは複雑になりがちです。新たに発見された脆弱性は、あなたの会社にとってのリスクでしょうか。Lazarus のような国家支援の APT グループに関するニュースに注意を払うべきなのでしょうか。

要点は、IT セキュリティのリスク管理を、組織における全体的なビジネスのリスク管理にきちんと整合させることです。防衛系や金融系の組織では、通常、成熟して確立されたリスク管理戦略があり、場合によっては Chief Risk Officer（最高リスク責任者）という専任の役割が設けられていることもあります。組織にそのようなポジションの方がいるなら、まずはその方から学ぶのがよいでしょう。しかし、すべての組織は常にリスクについて意思決定を行っています。多くの場合、その責任は CFO と CEO に委ねられます。私は、組織にとって整合的で一貫したリスク管理戦略を構築するために、彼らの助言を求めるべきだと考えます。そうしないと、余分な作業が増えるだけでなく、ビジネスの関与不足により IT が見落としていた現実の脅威に対して、組織がさらされてしまう可能性があります。

ここで、私が最初に取り上げた課題に戻ります。つまり、リスクと期待できる削減効果（expected savings）をどのように測定するのでしょうか？ それをすべて、この1つの記事で解きほぐそうとはしません。このテーマについては、かなり分厚い書籍がいくつもあります（良い例としては次の本があります：“How to Measure Anything in Cybersecurity Risk”—Douglas W. Hubbard と Richard Seiersen 著）。

コストやリスク、そして削減の度合いを見積もるには、専門家の意見に頼らざるを得ないでしょう。とはいえ、だからといって単に当てずっぽうで決めてよいという意味ではありません。推測を避けるには、双方向のアプローチがあります：

• 社内から学ぶ。自社のビジネス向けリスク管理プロセスから学び、それと整合するようにしてみてください。そうするには、C-suite とのつながりを構築する必要があり、さらに見積もった損失について彼らの意見が必要になります。
• 社外から学ぶ。他社の経験から学べるように、参加できる関連する CISO のグループやフォーラムがあるか確認してみてください。もう一つの良い情報源は、業界の調査です。たとえば、Ponemon Institute が作成し IBM がスポンサーになっている「Cost of Data Breach Report」などです。

これを複雑に考えすぎないでください。方針（アプローチ）を決めて、それを一貫して運用しましょう。数四半期が経てば、傾向を（そして裏付けることも）確認でき、必要に応じて調整できるようになります。

ビジネスチャンス

ここ数年のさまざまな業界イベントで、「ビジネスを可能にするものとしてのセキュリティ（security as business enabler）」について語られていたのを、あなたも聞いたことがあるかもしれません。多くの人はそれが素晴らしい考えだと同意しているようですが、その約束を実現できている組織は多くありません。

ROIの他の側面と同様に、ここでもコミュニケーションが重要です。経営陣や事業部のリーダーとつながりを作り、常に連絡を取り続ける必要があります。その結果、最初から、セキュリティを各新規プロジェクトの議論の一部にし、さらに実装（導入）計画から切り離せない不可欠な要素として位置付けるチャンスが生まれます。

あなたは新しいビジネスプロジェクトのオーナーではないため、機会全体としてのリターン規模を見積もることはできません。とはいえ、それで問題ありません。ROIの会話の中では、これらの新しい取り組みに触れることをおすすめしますが、具体的な数値を提示しようとはしないでください。

重要なポイント

私は、今年「セキュリティにおけるROI（投資対効果）」について交わしたすべての会話から得た自分自身の気づきをまとめるために、この投稿の作成を始めました。こちらが私のリストです：

• 各投資について、リスクをどの程度軽減できるかを見積もる際は、判断力と専門性を活用しましょう。 正確である必要はありません。不完全さを受け入れてください。リスク管理の専門知識は、おそらく社内の別の場所にあるはずです——その人たちから学び、同じアプローチを活用してみてください。利用できるツールやデータを使いましょう。
• ビジネス言語を話せるようになりましょう。 セキュリティは（だけでは）技術的な問題ではありません。CFOやCRO、そしてCEOから学べることはたくさんあります。こうした会話を通じて、彼らがさらに学べるようにも役立てられます。財務・レピュテーション（評判）・セキュリティのリスクをすべて含む包括的なリスク管理プログラムを構築することは、ビジネスをあらゆる面でより強くしていく助けになります。
• 事業全体のリーダーたちとのコミュニケーションの窓を開いたままにしましょう。 セキュリティ投資は（そして多くの場合そうあるべきです）新しいプロジェクトや新しい機会の一部になり得ます。ビジネスリーダーに対して、セキュリティをコストセンターではなく戦略的な取り組みとして捉えられるよう支援してください。
• 4つのROIの論点をすべて活用し、バランスを取りましょう。 リスク低減が出発点であるべきではあるものの、同じ1ドルの支出が、組織のコンプライアンス達成、運用コストの削減、および/またはビジネスチャンスの支援につながる方法を常に考慮してください。