セキュリティ投資効果の考え方を見直そう

セキュリティ製品の購入を検討した際に，何回くらい投資効果（ROI）を質問されただろうか。相当な回数繰り返し尋ねられた人が多いだろう。それに，ROIの見積もりは簡単な作業でない。セキュリティ問題が発生すると，生産性がどの程度低下するのだろう。影響の及ぶ時間はどのように計ればよいのか。給料，販売の損失，評判，被害を基準にするのだろうか。 このようなROI算定方法は，考え方が間違っていると筆者は考えている。セキュリティを全く確保していないシステムで何が「できない」かを自問してみてほしい。そのシステムは，問題なく機能するだろうか。答えは恐らく「機能しない」となるだろう。 問題は，大昔からセキュリティが結果論であることだ。我々はよく「仕事を済ませるのに何が必要で，そのためにはどの製品を買うべきなのか」と考える。これまでなら，ROIに関する検討はこれで終わっていた。自分の会社に新規導入するパソコンを購