組織の中でのセキュリティ予算の位置づけの転換点
セキュリティに対する予算は、従来ITそのものがそうであったように、「コスト」として位置付けられる傾向が強いのが特徴だろう。加えて、セキュリティ予算は基本的にはIT部門がIT予算全体の中の一部として確保するケースが一般的だろう。工場などの制御系は制御系で別に予算を確保するというのも一般的だ。
対策強化にあたって、経営層から予算承認を得るのに苦労している現場責任者は依然として多い。ITやセキュリティという技術的要素もあり必要性が理解してもらえないことや、対策の導入による具体性のある費用対効果を数値として求められるといった事態にも直面している。対策ツールの導入が「要件」や「価値」ではなく、単なる「価格」で決まるケースも依然としてよくある話だ。
セキュリティインシデントによる事業影響がこれだけ大きくなり、サプライチェーンやステークホルダーの利益を侵害する恐れがある中で、セキュリティを「コスト」として位置付けること自体が時代遅れになっていると言える。IT予算の中でセキュリティ予算を確保することも、IT予算の何％が妥当かという発想自体も、サイバーリスクがもたらしている事業影響の大きさを考えると時代遅れだろう。
自組織はもちろんエコシステム全体を司るサプライヤーや販売網に至るステークホルダーや株主への影響を踏まえると、自社の事業規模をベースにどれだけセキュリティ予算を確保するべきかを考えるのが妥当だろう。つまり、事業規模に応じたセキュリティ投資の考え方へのシフトだ。
また、セキュリティにかかる予算を情報系であればIT部門、制御系であれば工場などが負担する形が一般的だが、自社の経営を支えるためのもの、自社全体のリスク管理のためのものとして、経営直下で全体的にセキュリティ予算を確保するという方向性も検討に十分値する。セキュリティ予算は、ビジネスを守るもの、サプライチェーンを守るもの、ステークホルダーの権利を守るためのものだからだ。
近年のセキュリティインシデントを受けて、企業の経営層のサイバーリスクに対する関心、リスク認識は以前と比較して格段に高まりを見せているのは間違いない。ただ、このリスク認識を継続して高く持つことだけでは十分ではない。経営としてのリスク認識を具体策に反映し、組織内でのセキュリティ予算の位置付けを見直すとともに、必要な予算を積極的に確保する転換点に来ているのではないだろうか。
連載：「あの」インシデントから紐解く企業セキュリティの本質
過去記事はこちら>>
