「NRAが今年のセキュリティ10大ニュースを発表」記事へのコメント

うーん

[ta98 (10561)]

＞「経営者の中には『情報システムは技術の問題だ。技術のことは自分では分からないので、専門家に聞いてみよう。』という誤った認識をした経営者が少なくないようだ」

関連リンクを読むとこの引用にはまだ続きがあったのね。でも続きを読んでも何か物

Re:うーん

[Anonymous Coward]

> おろそかにしていると大損害になる

そのスローガンは一般的で当たり前のことなんで、説得力がないの
ですよ。一般論としてそれは誰もがわかっていて、その上で大丈夫
と思い込んでいるわけでしょ。構造的な問題をスローガンにしない
と

リスクの定量評価

[SteppingWind (2654)]

指摘すべきはやはり、経営者と技術者のディスコミュニケーション
の問題ではないでしょうか。技術者が軽視されているというか、技
術者に説明能力が欠けているというか。

技術的な視点以前に企業におけるリスク管理, 特に定量的なリスク評価を行い, それに見合ったセキュリティ投資を行うという経営技術がごっそりと抜け落ちているところが問題だと思います.

極端な話, ごめんですむことに対して過大なセキュリティ投資を行うのは無駄ですし, 一発で会社の信用が吹き飛ぶような情報については相応のセキュリティが必要でしょう. こうした情報の価値判断は技術側からではなく, 経営側からなされるべきものです. ですが, ほとんどの経営フィールドにおいて, 社外秘とは「絶対」に漏れてはいけないという2値的な観念しかなく, これが思考停止を招いています.

ですからまずはセキュリティ障害は起こることだという前提に立って, その場合の損害を取りまとめ, ここでようやく情報システムのセキュリティの評価に入るべきです. ただ, このような議論は情報システムに限らず, 本当に何年も(下手すりゃ何十年も)前から経営におけるリスクマネジメントの重要性として言われてきていることですから, 今更言ったところで変わるものとも思えないところはあります.

Re:リスクの定量評価

[minz (3213)]

> 特に定量的なリスク評価を行い, それに見合ったセキュリティ投資を行う

なにもセキュリティでなくても「定量的なリスク評価」なぞしていないし、
もちろんそのリスクに見合った「リスクヘッジ」を行なっていない、
という傾向が日本の企業には強いですよね。

＃それができてたらバブルは起きてないし、今現在している金融
＃政策もかなり背中に冷や汗が…。

結局は「みんなと一緒」ならなんとなく安心できる、そして、
その「安心感」が経営者にとって一番重要なコトなのでしょう。

定量的なリスク評価に「安心感を与えられるだけの説得力」
がある評価ができているのか？という（自戒をこめた）問題
もありそうです。

--
みんつ