多くの企業において、セキュリティが優先事項となるのは、不法侵入や訴訟、夜間のトラブルといった問題が実際に発生した後である。私は20年近くにわたり、企業に対し、事態が発生するよりもずっと前の段階からセキュリティについて考えるよう訴え続けてきた。
私はキャリアの初期を金融および保険業界で過ごした。これらの業界は、「あらゆるリスクは損失に変わる前に測定される」というシンプルな規律の上に成り立っている。2007年にCitiguardを設立した際、私はその規律を物理セキュリティの分野に持ち込んだ。
約20年がたった今、経営幹部が問うべきなのは、単にセキュリティ体制が整っているかどうかではない。そのリソースが、実際に事業を混乱させ得るリスクに対応しているかどうかである。
視野の狭さがもたらすコスト
多くの経営幹部にセキュリティ予算の目的を尋ねると、その答えは損害の抑制にとどまることが多い。侵入を減らす、賠償請求を減らす、インシデントを減らす、といったものだ。それは間違った答えではない。ただ、不完全な答えなのである。
セキュリティを、それが防いだ災害だけで測ると、日々生み出している目立たない価値を見落とすことになる。セキュリティが意図通りに機能していれば、オフィスは開き続け、倉庫は出荷を続け、従業員は自分の環境が安全かどうかを意識することなく仕事に集中できる。
より良い問いは、企業がセキュリティにかける費用を減らせるかどうかではなく、そうすることでどのようなリスクを受け入れているのかを理解しているかどうかだと私は考えている。低コストのプログラムでも、組織が実際にさらされているリスクに対応しているなら適切な場合がある。一方で高額なプログラムであっても、リソースが誤った場所に集中していれば不十分なままである。
異なる計算方法
Citiguardは警備員を配置する前に、その施設を評価する。この事業は実際にどこでリスクにさらされているのか。どの人材、資産、業務が最も重要なのか。それらを妨げる可能性があるものは何か。その中断にはどれほどのコストがかかるのか。
「人員配置の前にアセスメントを行う」という順序のわずかな転換だが、これが企業のセキュリティ支出に対する捉え方を一変させる。漠然とした人員配置数は削減交渉の対象となる「コスト」に過ぎない。しかし、明文化されたリスクは、その対処費用と比較検討すべき「経営課題」として経営陣に提示されるのだ。
セキュリティを強化すれば（量を増やせば）質が高まるとは限らない。施設に応じて、適切な解決策は警備員の増強であったり、入退室管理や監視体制の強化であったり、あるいは人・技術・手順の組み合わせであったりする。
経営層が問うべきなのは、「どれだけのセキュリティを持っているか」ではない。「現在の支出によって、どのリスクを低減しているのか」である。
早く支払うか、後で支払うか
インシデントが起きてからセキュリティを真剣に考え始める企業は、そのコストが直接的な損失をはるかに超えることに気づくことが多い。
業務停止によるダウンタイム、法的な不利益、保険上の影響、レピュテーションの毀損などが挙げられる。さらに、数値化が極めて困難な要素もある。職場での安全を感じられなくなった従業員や、信頼を損ねた顧客などだ。
比較すべきなのは、単にあるセキュリティ提案と別の提案ではない。重要なリスクを低減するコストと、それを受け入れた場合の財務上および業務上の影響である。
あらゆる脆弱性に追加予算を投じる必要はない。企業は日々、一定のリスクを受け入れながら事業を行っている。経営陣の役割は、事件の後に「誰も適切に評価していないリスクが存在していた」と発覚することではなく、リスクの受け入れを意図的かつ合理的に判断することである。
成長はリスクの方程式を変える
セキュリティプログラムが時代遅れになりやすいタイミングの一つが、成長の局面である。
企業は従業員、拠点、在庫、営業時間を拡大させるが、セキュリティが常に同じスピードで進化するとは限らない。50人の従業員に適していたアクセス管理の手順は、500人規模になれば機能しなくなる可能性がある。1つの拠点であれば管理可能だった脆弱性も、複数の拠点に広がれば繰り返される深刻な問題となり得る。
著しい成長を遂げる時期こそ、見直しの契機とすべきだ。企業は事業拡大に伴い、人員計画、テクノロジー、保険、財務管理などを定期的に再考する。物理セキュリティに対しても、これらと同等の姿勢での見直しが必要である。
経営幹部が真に測定すべきもの
成功を単に「事件・事故が発生しないこと」と定義していると、セキュリティの正当な評価は困難になる。重大な問題が発生せずに数カ月経過したとしても、企業が重大な脆弱性を抱えているケースはあるのだ。
経営幹部は、組織にとって最も重要なリスクが特定されているか、その責任者は誰か、インシデントやヒヤリハットがパターンの把握に向けてどのように検証されているかを問うべきである。また、事業が十分に変化し、現在のセキュリティ計画が時代遅れになっていないかも検討すべきだ。
経営陣は、マンネリ化している前提を疑わなければならない。警備員の配置ポイントは、開設された本来の目的を今も果たしているか。導入したテクノロジーは役に立つ情報を提供しているか、単にデータ量を増やしているだけか。頻発するトラブルは、これまで放置されてきた弱点を示しているのではないか。
数字が真に示すもの
これらはいずれも、企業に支出を増やすことを求めるものではない。ただし、経営層にはより良い問いを立てることが求められる。
「セキュリティ費用をどれだけ抑えられるか」から始めるのではなく、「事業の継続と成長のために組織が真に保護すべきものは何か」から始めるのだ。事業に重大な影響を与え得るリスクを洗い出し、受容可能なリスクを特定した上で、そこから逆算してセキュリティ計画を構築するのである。
ここに、私の金融業界での経験と20年近くに及ぶ物理セキュリティの経験が結実している。リスクをゼロにすることはできず、リソースも決して無制限ではない。果たすべき役割は、リスクを正しく理解し、それらのリソースをどこへ振り分けるべきかについて賢明な意思決定を行うことである。
最も高くつくセキュリティの失敗とは、必ずしも事件そのものではない。「リスクは最初から存在していたのに、誰も適切な問いを発していなかった」と後から気づくことなのだ。
