![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.2018100901.png){kind=logo}
[学術研究] 主要セキュリティ対策の費用対効果ランキング
2016 年暮れに経済産業省から出された「サイバーセキュリティ経営ガイドライン Ver 1.0」の最初のページに載っていた、ある言葉を忘れられない人は少なくないかもしれません。
調査・レポート・白書
調査・ホワイトペーパー
同ガイドライン「経営者が認識する必要がある『３原則』」の段落冒頭には「セキュリティ投資に対するリターンの算出はほぼ不可能であり、セキュリティ投資をしようという話は積極的に上がりにくい」と書かれていました。
事業会社としての売上や利益を、セキュリティ対策自身が直接生み出すことはできないという意味でこれは全面的に正しい記述でしたが、日本のセキュリティ対策の歴史的にも極めて意義の大きいドキュメントの本文第 1 ページに書かれた、スポーツブランドの NIKE でなくても聞き捨てならないこの言葉のあまりの潔さに、試合開始早々ホイッスルも鳴り終わらぬうちに、エースストライカーがオウンゴールを決めたかのような戦慄を味わった人は、決して少なくなかったと思います。
もちろんセキュリティ対策にとって最大の制約条件のひとつであるコストとその効果を測るのは容易ではありません。
そもそもこれまで、セキュリティ対策の費用対効果を分析する方法は一般にほとんど普及していませんでした。せいぜい「売上や利益の n ％が IT 予算」「 IT 予算の x ％がセキュリティ予算」といった、費用対効果以前の、おおざっぱな「目安」がある程度でした。
実に多くのケースで「ファイアウォール」「IDS/IPS」「WAF」等々、代表的製品一覧の表をもとに、たとえば「ファイアウォール ○ 導入済」「IDS/IPS ○ 導入済」「WAF × 未導入」であれば、WAF の導入を営業担当者やコンサルタントが提案するような、段階的に、順番に、投資が進められてきました。
投資効果を明確に数値化できないことは、セキュリティ投資に腹落ちできない原因でもあり、一種の不信感にすらつながることもありました。
一方で近年は、そのときどきに必要となったセキュリティ対策を、年を経るごとに次々とサイロ的に「足し算」して増やしてきた時代から、いまある対策をどう組み合わせ効率化を図り最適解を考えるか、場合によって一部の対策の重要度を下げるなど「引き算」のセキュリティ対策も必要になってきています。
こうした状況のもとで注目されている学術研究があります。
「多重リスクコミュニケーター（MRC：Multiple Risk Communicator）」というコンセプトのもと、「資産」「サイバー攻撃」「セキュリティ対策」を相関的に分析することで、「ファイアウォール」「アンチウィルスソフト」「サンドボックス」「SIEM」「SOC」など 10 を超える主要セキュリティ対策の費用対効果性能を算定・比較し、予算規模別の最適な対策の組み合わせを提案した研究です。
この研究の対象となったセキュリティ対策は下記 13 種です。
1．メールフィルタの導入
2．サンドボックス型メールセキュリティ対策
3．標的型攻撃対策訓練の実施
4．エンドポイント型セキュリティ対策
5．アンチウィルスソフトを最新の状態に保つ
6．PCやサーバのパッチの最新化
7．プロキシによる監視
8．ファイアウォールでのポート制御
9．サンドボックス型セキュリティ対策
10．外部SOC
11．セグメント間の通信の制限
12．個人情報の速やかな削除
13．統合ログ監視ツールの導入
編集部は今春、同研究の責任者に直接話を聞く機会を得ました。
本稿では、具体的にどのような手順で、それぞれのセキュリティ対策の費用対効果を算出したのか、上記 13 種のセキュリティ対策を「費用対効果」という視点から見たとき、果たしてどの対策が優れているのか、予算規模による最適な組み合わせは何か、詳しく話を聞きました。
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
研修・セミナー・カンファレンス潜入ルポ：実際の ADAS 車両へのサイバー攻撃セミナー
今秋 9 月 21 日、実際の車両を用いて CAN ネットワークに介入し、疑似的なサイバー攻撃を再現・体験するセキュリティセミナーが開催された。講師を務めたのは、広島市立大学の井上 博之 教授だ。
-
Adobe Flash Player において Use-After-Free の脆弱性により遠隔から任意のコードが実行されてしまう脆弱性（Scan Tech Report）
Adobe Flash Player に遠隔から任意のコードが実行可能となる脆弱性が報告されています。
-
2019 年新春の決意：お年玉で絶対に買ってはいけない「最新技術製品」（The Register）
あらゆる専門家がIT業界の未来を予測し、的中させようと躍起になっていました。今度は私に順番が回ってきました。そこで思いつくままにたわごとを書き連ねてみようと思います。
-
Scan PREMIUM Monthly Executive Summary 2018.12
毎月第一営業日前後をめどに、前月に起こったセキュリティ重要事象のふり返りを行う際に、参考資料として活用いただくことを目的に「 Scan PREMIUM Monthly Executive Summary 」を2019 年 1 月から新たにお届けします。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
三井住友銀行を騙るシンプルなメールに注意（フィッシング対策協議会）
インシデント報告件数、「フィッシングサイト」と「スキャン」が拮抗（JPCERT/CC）
OracleがJavaをアップデート、Java SE 8の商用ユーザは特に注意（JPCERT/CC、IPA）
Amazonプライム会員の更新のためにカード情報を登録させるニセメール（フィッシング対策協議会）
スマートスピーカーや5G回線の悪用など予測--2019年のセキュリティ（ジュニパーネットワークス）
オムロンの「CX-One」に任意コード実行の脆弱性（JVN）
インシデント・事故 記事一覧へ
「はるか夢の址」運営者など3名に実刑判決、最長懲役3年6カ月（ACCS）
パソコン出張サポートの申込者情報がインターネット上で閲覧可能状態に（ケーズホールディングス）
不正アクセスによりホームページが改ざん被害、現在は復旧済み（南紀白浜観光局）
国際学会で離席した隙をつかれノートパソコンが盗難被害に（長岡技術科学大学）
フィッシングサイトで詐取されたアカウントから迷惑メールを多数配信、個人情報漏えいの可能性も（東京外国語大学）
国税庁での契約・法令違反の再委託を受けて調査を実施、埼玉県内の6市でも無許諾が判明（AGS）
調査・レポート・白書 記事一覧へ
地下市場をやめ独自のショップを開設する犯罪者が増加--四半期レポート（マカフィー）
「Webシステム／Webアプリケーションセキュリティ要件書 Ver.3.0」を公開（脆弱性診断士スキルマッププロジェクト）
IoTセキュリティへの取り組み、日本企業の低さが明らかに（ジェムアルト）
コネクテッドカーのECUに1カ月あたり平均30万回の攻撃（アズジェント）
フォレンジックで浮気の証拠探し -- 2018年ランキング（デジタルデータソリューション）
家庭のセキュリティ教育実施、被害経験のある親比率高い（トレンドマイクロ）
研修・セミナー・カンファレンス 記事一覧へ
潜入ルポ：実際の ADAS 車両へのサイバー攻撃セミナー
日本初上陸の電子メール「分離」技術をお披露目、Menlo 社チーフアーキテクト来日（マクニカネットワークス）
サイバーセキュリティでも「セコム」、来週24日 セミナー開催
セキュリティエンジニアに一番必要なのは「好き！」の気持ち、MBSD Cybersecurity Challenges 2018 レポート
プロアクティブな対策に必須の「サイバーインテリジェンス」入門セミナー（マキナレコード）
![[鋭意準備中] 今年もあの方に Black Hat USA 2018 の見どころを聞きました 画像](/imgs/std_m/25020.jpg)
![[4月1日配信記事] サイバーセキュリティ専門誌 ScanNetSecurity が創刊 20 周年記念し物理セキュリティジャンルに進出、自宅警備に特化した姉妹誌を4月1日新創刊 画像](/imgs/std_m/24158.jpg)
