セキュリティは企業システムの運用において単なる「コスト」として認識されがちです。 セキュリティ管理に携わっている管理者の中には、 「セキュリティ対策は効果が見えづらい」 「一体何を導入すればよいか分からない」 「セキュリティ対策に予算を取りたいが承認が下りない」

というお悩みをお持ちの方も多くいらっしゃるのではないでしょうか。

本セッションでは、『投資対効果』という切り口から、 本当に意味があるセキュリティへの投資とは、という命題を紐解きたいと思います。

40分近くの見ごたえのある有意義なセッションの一部を、以下に抜粋いたします。 本編はページ内のリンクからYoutubeでご視聴いただけます。

（伊藤氏）
攻撃者の視点で行う脅威モデリングの有効な手立てが、ペネトレーションテストです。 ペネトレーションテストを実際に受けていただくと、意外なことが判明するケースが多々あります。

例えば、ネットワークで分離できていたと思っていたセグメント同士が思わぬポイントでつながっていて重要情報にアクセスできる経路が残されていた、とか、クラウドの設定に問題があり、同じく重要情報に触れられてしまう危険性が残されていたが「クラウドのデフォルト値がこうなっているとは知りませんでした」というケースなど。 起点は些細なことですが、それが多層化していくと攻撃の糸口として悪用され実被害につながります。

調べてみると必要な改善策は、既存機の設定変更だけで済むケースもあります。そうすると余計な対策コストを支払わずに済みます。

（前田氏）
データ保護の観点から暗号化の有効性について紐解くと、当社は暗号や鍵管理で長らく政府機関や金融機関などの超機密データに対して利用されてきました。 データは漏れるもの、という視点では暗号化がベストな方法だと思っています。 伊藤さんのお話と組み合わせると、攻撃から身を守る外側の起点が疑似的な攻撃であるペネトレーションテスト、内側の起点がデータに着目した暗号化といえます。

もっと具体的に暗号化を施す有効性とは、海外のガイドラインや総務省でも示されているように『鍵さえ漏れなければ漏えいとみなされない』と言われている点です。 そうすると、法対応が出来ていることに加え、事実を調べて公表をするにしても時間に余裕を持った対応が可能です。