![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.2019021201.png){kind=logo}
[学術研究] 主要セキュリティ対策の費用対効果ランキング
2016 年暮れに経済産業省から出された「サイバーセキュリティ経営ガイドライン Ver 1.0」の最初のページに載っていた、ある言葉を忘れられない人は少なくないかもしれません。
調査・レポート・白書
調査・ホワイトペーパー
同ガイドライン「経営者が認識する必要がある『３原則』」の段落冒頭には「セキュリティ投資に対するリターンの算出はほぼ不可能であり、セキュリティ投資をしようという話は積極的に上がりにくい」と書かれていました。
事業会社としての売上や利益を、セキュリティ対策自身が直接生み出すことはできないという意味でこれは全面的に正しい記述でしたが、日本のセキュリティ対策の歴史的にも極めて意義の大きいドキュメントの本文第 1 ページに書かれた、スポーツブランドの NIKE でなくても聞き捨てならないこの言葉のあまりの潔さに、試合開始早々ホイッスルも鳴り終わらぬうちに、エースストライカーがオウンゴールを決めたかのような戦慄を味わった人は、決して少なくなかったと思います。
もちろんセキュリティ対策にとって最大の制約条件のひとつであるコストとその効果を測るのは容易ではありません。
そもそもこれまで、セキュリティ対策の費用対効果を分析する方法は一般にほとんど普及していませんでした。せいぜい「売上や利益の n ％が IT 予算」「 IT 予算の x ％がセキュリティ予算」といった、費用対効果以前の、おおざっぱな「目安」がある程度でした。
実に多くのケースで「ファイアウォール」「IDS/IPS」「WAF」等々、代表的製品一覧の表をもとに、たとえば「ファイアウォール ○ 導入済」「IDS/IPS ○ 導入済」「WAF × 未導入」であれば、WAF の導入を営業担当者やコンサルタントが提案するような、段階的に、順番に、投資が進められてきました。
投資効果を明確に数値化できないことは、セキュリティ投資に腹落ちできない原因でもあり、一種の不信感にすらつながることもありました。
一方で近年は、そのときどきに必要となったセキュリティ対策を、年を経るごとに次々とサイロ的に「足し算」して増やしてきた時代から、いまある対策をどう組み合わせ効率化を図り最適解を考えるか、場合によって一部の対策の重要度を下げるなど「引き算」のセキュリティ対策も必要になってきています。
こうした状況のもとで注目されている学術研究があります。
「多重リスクコミュニケーター（MRC：Multiple Risk Communicator）」というコンセプトのもと、「資産」「サイバー攻撃」「セキュリティ対策」を相関的に分析することで、「ファイアウォール」「アンチウィルスソフト」「サンドボックス」「SIEM」「SOC」など 10 を超える主要セキュリティ対策の費用対効果性能を算定・比較し、予算規模別の最適な対策の組み合わせを提案した研究です。
この研究の対象となったセキュリティ対策は下記 13 種です。
1．メールフィルタの導入
2．サンドボックス型メールセキュリティ対策
3．標的型攻撃対策訓練の実施
4．エンドポイント型セキュリティ対策
5．アンチウィルスソフトを最新の状態に保つ
6．PCやサーバのパッチの最新化
7．プロキシによる監視
8．ファイアウォールでのポート制御
9．サンドボックス型セキュリティ対策
10．外部SOC
11．セグメント間の通信の制限
12．個人情報の速やかな削除
13．統合ログ監視ツールの導入
編集部は今春、同研究の責任者に直接話を聞く機会を得ました。
本稿では、具体的にどのような手順で、それぞれのセキュリティ対策の費用対効果を算出したのか、上記 13 種のセキュリティ対策を「費用対効果」という視点から見たとき、果たしてどの対策が優れているのか、予算規模による最適な組み合わせは何か、詳しく話を聞きました。
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
製品・サービス・業界動向ＮＴＴデータ先端技術サイバーセキュリティインテリジェンスセンター設立目論見
NTTデータ先端技術株式会社が遡ること4月1日付、「サイバーセキュリティインテリジェンスセンター」を設立した。
-
一田和樹 サイバーブックレーダー「サイバー完全兵器」デービッド・サンガー著
北朝鮮、ロシア、中国からのアメリカに対する攻撃と、アメリカの他国への攻撃の双方が描かれ、ハイブリッド戦を挑まれたアメリカが大統領選で完敗した経緯の詳細もわかる。著者はその時期のキイパーソン（トランプにも）に直接取材しており、生々しい話が読める。
-
顧客データ人質にされた独大手 SI 企業の攻防、攻撃者が本誌に語った言い分（The Register）
オラクル、SAP、BT 他、さまざまな企業と契約し、それら企業の IT システムを管理しているサービスプロバイダがハッキングされ、その顧客データを人質に身代金が要求されている。
-
サイバー攻撃被害、日韓に存在した共通点
韓国の脅威分析と日本との関係に着目したセッションが、2018年10月に開催されたCODEBLUEで行われた。その内容を元に、日韓両国の脅威事情を紹介する。講演者はチャ・ミンソク氏（AnLab）。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
「Apache Camel」に任意のファイルを読みとられる脆弱性（JVN）
「Hitachi IT Operations Director」などにDoSの脆弱性（HIRT）
複数のCisco製品に脆弱性、対応を呼びかけ（JVN）
Intelが複数製品の12種類のアドバイザリを公開、アップデート推奨（JVN）
マイクロソフトが月例セキュリティ情報を公開、17種の製品を更新（IPA、JPCERT/CC）
アドビが2件のセキュリティアップデートを公開、適用を呼びかけ（JPCERT/CC、IPA）
インシデント・事故 記事一覧へ
不正アクセスにより医師の氏名を騙るなりすましメールを送信（東京都保健医療公社 多摩北部医療センター）
国外から不正アクセス 個人情報削除、パスワードハッシュ化済も万全期し全件変更（愛媛CATV）
「広報ひがしよどがわ」不法投棄、宛名シール記載個人情報流出（大阪市）
福祉サービス事業の誤ったリストを別事業者へ送信（大阪市）
ファイルサーバがランサムウェア感染、一部は所外流出可能性も（権田総合法律事務所）
車上荒らしで顧客の個人情報8名分が含まれる鞄が盗難被害に（ヨシコン）
調査・レポート・白書 記事一覧へ
一田和樹 サイバーブックレーダー「サイバー完全兵器」デービッド・サンガー著
平成30年の特殊詐欺認知・検挙の数値を確定、減少に転じるも高水準（警察庁）
「噂の学園一の美少女な先輩がモブの俺に惚れてるって、これなんのバグですか？」瓜生 聖 (ブックレビュー)
Oracle WebLogic Serverにおけるリモートコード実行の脆弱性を検証（NTTデータ先端技術）
2018年度の標的型攻撃、中国政府関与とみられる攻撃多数（マクニカネットワークス）
代表アドレスへ履歴書送付、APTグループ「OceanLotus」が日系自動車企業東南アジア拠点攻撃の可能性（マクニカネットワークス）
研修・セミナー・カンファレンス 記事一覧へ
ＭＢＳＤ国分裕の「脆弱性診断士育成」カリスマ授業
サイバー攻撃被害、日韓に存在した共通点
中国サイバー攻撃組織の行動原則、中国製造 2025 と超限戦
蘇る ISMS、カギは２つの交絡因子
教育機関に対するサイバー攻撃の傾向を事例を交えて紹介（FireEye）
![[配信予告] ＣＳＩＲＴの終焉？ 平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行 画像](/imgs/std_m/27120.jpg)
![[おしらせ] 人気連載執筆者のご自宅玄関、扉の奥へ 画像](/imgs/std_m/26608.jpg)
