IT界の埋蔵金? 手付かずのセキュリティコストと戦う：セキュリティ、そろそろ本音で語らないか（1）（3/3 ページ）

情報セキュリティコストは埋蔵金！？

　最近、よく耳にする埋蔵金。これは広い意味では、有効活用すれば利益に転じることができる資産も含まれます。例えば、霞が関に近いところにある広大な敷地の政府系建造物で、そこにある必要がまったくないもの、などです。

　では、会社における情報セキュリティにかかっているコストについて考えてみましょう。コストというと、出ていくお金、というイメージがありますが、そればかりではありません。情報セキュリティの名の下に犠牲にされた知的生産性の低下もコストとして私は算出するようにしています。

　筆者は下記のように情報セキュリティコストを定義しています。次回以降で詳しく解説しますが、主な要素の概要は以下のようなものです。

　「投資コスト」とは、情報セキュリティ製品を買うための費用や構築、運用コスト、専門コンサルタントを雇う費用、脆弱性検査やセキュリティ監視サービスなどを受けるコストなどの外部に支払われることの多いコストを指します。

　「マネジメントコスト」とは、社内でのポリシー策定や運用部門の人件費、教育を実施するためのコスト、教育を受けるために本来業務を中断する人件費などが主な要素です。日本のセキュリティ対策においてはこの部分に非常に多くの時間が割かれているのが特徴です。

　「知的生産性低下」とは、ノートPCが持ち出し禁止になった結果、自宅や喫茶店での作業ができなくなったり、複雑で複数のパスワードの暗記に脳細胞を酷使したり、息抜きのホームページすら閲覧禁止になったり、ちょっとした冗談の私的メールが監視されていたり、社員のやる気をそぐような施策による知的な生産性の低下を意味します。この知的生産性の低下は非常に大きくなってしまっており、そろそろ手を打つべき時期に来ていると筆者は痛感しています。

　例えば、守れもしないルールの教育コスト、持ち出し禁止のノートPCによる自宅や喫茶店での仕事ができないロス、なども情報セキュリティコストとして考えるとコスト算出が見える化されるのです。

　さらに、製品群の整理統合、ルールの徹底からオートメーション化によるマネジメントコストの削減により、コスト削減は十分可能であると筆者は考えています。

　コスト削減は企業を救う重要な施策であり、いまこそ情報セキュリティコストの削減に取り組む、いや、取り組める大きなチャンスだと思っています。このまま好景気が続いていたらきっとさらにコストは膨らんでいっていたことでしょう。

　今回はここまでとさせていただきます。これまで情報セキュリティコストは聖域であったのですが、いよいよ見直しの時期が迫ってきたと肌で感じていますし、最近出会ってお話しする方も同様のことをおっしゃいます。これを読んでくださっている少なからぬ方々にご賛同いただけるのではないでしょうか。

　次回は、情報セキュリティコストの個々について掘り下げるとともに、コスト削減の代表的な手法についても触れていきたいと思います。

「セキュリティ、そろそろ本音で語らないか」連載目次