当コミュニティに参加させていただきました。
自分は社内セキュリティ担当なので、タイトルの通りセキュリティ投資効果を算出する事もあるのですが、殆どのセキュリティ対策システムは費用回収は行えず、回収が行えても何十年という規模のシステムが多い様です。
警視庁の調査結果によると国内企業の平均セキュリティ投資額が従業員1人当たり年間\16000に対し、平均セキュリティ被害額は従業員1人当たり年間\2000程度となってます。
http://
セキュリティ事情が深刻なセキュリティの将来像である米国でもCSI/FBIの調査結果で同様の結果が出てます。
http://
閑話休題。そもそも論としてセキュリティ対策はどこまで必要性があるのでしょうか？
情報漏洩に関しては、被害件数に対し賠償額が多額に上り、保険の意味で対策の必要性はあるかと思いますが、それ以外は堅牢な対策を取れない現状に対し、新規にセキュリティ対策を採る意味はどこまであるのでしょうか。
サステナビリティと関連付けて良く議論されますが、説得力のある意見は見当たりません。
正直不安を煽るだけのベンダーと業界に不信を感じております。
そこで皆様の意見を頂戴したく。 了
自分は社内セキュリティ担当なので、タイトルの通りセキュリティ投資効果を算出する事もあるのですが、殆どのセキュリティ対策システムは費用回収は行えず、回収が行えても何十年という規模のシステムが多い様です。
警視庁の調査結果によると国内企業の平均セキュリティ投資額が従業員1人当たり年間\16000に対し、平均セキュリティ被害額は従業員1人当たり年間\2000程度となってます。
http://
セキュリティ事情が深刻なセキュリティの将来像である米国でもCSI/FBIの調査結果で同様の結果が出てます。
http://
閑話休題。そもそも論としてセキュリティ対策はどこまで必要性があるのでしょうか？
情報漏洩に関しては、被害件数に対し賠償額が多額に上り、保険の意味で対策の必要性はあるかと思いますが、それ以外は堅牢な対策を取れない現状に対し、新規にセキュリティ対策を採る意味はどこまであるのでしょうか。
サステナビリティと関連付けて良く議論されますが、説得力のある意見は見当たりません。
正直不安を煽るだけのベンダーと業界に不信を感じております。
そこで皆様の意見を頂戴したく。 了
|
|
|
|
コメント(65)
>であれば、あなたのご責任で、必要ないといえば、終わりのような？:)
セキュリティ予算枠で優先順位付けをすれば、あるシステムの効果は導入検討中の他のシステムより高く導入する。という判断にいたった訳です。
この例でいう投資効果が望めないという結果は、ほとんどのセキュリティ対策製品に当てはめられる事で、そもそもセキュリティ製品の値段設定間違ってますよ。ベンダーさん？という感想に至った訳です。
>ちなみに、「論拠のある＝実績ベースで」というのを確認したのは、実績ベースの場合、それをつまびらかにした相手が、コンプライアンス違反もしくは契約違反になる可能性があることを認識されておられますか？ということを確認したかっただけです。
えーと・・すみません。何を言われているのか良く理解出来ません。経営責任の事を仰られているのでしょうか？
セキュリティ予算枠で優先順位付けをすれば、あるシステムの効果は導入検討中の他のシステムより高く導入する。という判断にいたった訳です。
この例でいう投資効果が望めないという結果は、ほとんどのセキュリティ対策製品に当てはめられる事で、そもそもセキュリティ製品の値段設定間違ってますよ。ベンダーさん？という感想に至った訳です。
>ちなみに、「論拠のある＝実績ベースで」というのを確認したのは、実績ベースの場合、それをつまびらかにした相手が、コンプライアンス違反もしくは契約違反になる可能性があることを認識されておられますか？ということを確認したかっただけです。
えーと・・すみません。何を言われているのか良く理解出来ません。経営責任の事を仰られているのでしょうか？
>責任を回避したいのであれば
責任回避というよりセキュリティ担当として評価されるアウトプットがセキュリティ投資の最適化位しか無い訳で、自分の仕事に意味を持たせるという側面が大きいです。
費用対効果の算出が難しい現在、やれる事はセキュリティ対策システムの置き換えによるコストダウン。また過剰投資が問題視されると思われる将来に向け、将来的に置き換えが可能かを考慮してシステムを検討する事ぐらいでしょうか。
情報漏洩に関しては、当社はBtoCビジネスでは無いので、個人情報保護法による実損失より、信用度失墜の方が懸念すべき事項な訳で、冒頭でも皆様もおっしゃる通り、保険という意味合いでコストより抑制効果を重要視しています。
>今までみたいに500円づつ配ってはい終わりというレベルでは済まされなくなってくるんじゃないでしょうか?
微妙ですよね。情報漏洩事件が起きすぎてあまり注目視されなくなってきたようにも思えますし。
調べてみるとセキュリティ対策提案してくる何％かのベンダーさんは情報漏洩起こしており、そんなトコのセキュリティ対策いれられるかぁ！と思いつつも実際考慮するのは価格と製品性能とアフターサービスだったりします。(BtoCだと話は違いますし、今後の法規制や指名停止措置等は怖いですが。)
責任回避というよりセキュリティ担当として評価されるアウトプットがセキュリティ投資の最適化位しか無い訳で、自分の仕事に意味を持たせるという側面が大きいです。
費用対効果の算出が難しい現在、やれる事はセキュリティ対策システムの置き換えによるコストダウン。また過剰投資が問題視されると思われる将来に向け、将来的に置き換えが可能かを考慮してシステムを検討する事ぐらいでしょうか。
情報漏洩に関しては、当社はBtoCビジネスでは無いので、個人情報保護法による実損失より、信用度失墜の方が懸念すべき事項な訳で、冒頭でも皆様もおっしゃる通り、保険という意味合いでコストより抑制効果を重要視しています。
>今までみたいに500円づつ配ってはい終わりというレベルでは済まされなくなってくるんじゃないでしょうか?
微妙ですよね。情報漏洩事件が起きすぎてあまり注目視されなくなってきたようにも思えますし。
調べてみるとセキュリティ対策提案してくる何％かのベンダーさんは情報漏洩起こしており、そんなトコのセキュリティ対策いれられるかぁ！と思いつつも実際考慮するのは価格と製品性能とアフターサービスだったりします。(BtoCだと話は違いますし、今後の法規制や指名停止措置等は怖いですが。)
目的が「セキュリティ対策は一般的に投資効果が得られるか知りたい。」という時点ですれ違っているのが判りました。
組織の経営目標達成のために情報セキュリティ対策をするわけですから、投資効果が得られない対策は採用されません。私には、もとの命題の設定が間違っていると思われます。
あるセキュリティ対策の導入判断をコスト面から判断する方法を知りたい、ということであれば、その対象となるセキュリティ対策とリスクを明示しないと始まらないですよ、というｋとです。
導入判断の要素はコスト以外にも、ステークホルダーからの要求、営業効果、いろいろあると思いますよ。
あと個人情報保護法への対応でいうと、BtoCかどうかよりも、法令で規定する取扱事業者に該当するかどうかが重要ですよ。
組織の経営目標達成のために情報セキュリティ対策をするわけですから、投資効果が得られない対策は採用されません。私には、もとの命題の設定が間違っていると思われます。
あるセキュリティ対策の導入判断をコスト面から判断する方法を知りたい、ということであれば、その対象となるセキュリティ対策とリスクを明示しないと始まらないですよ、というｋとです。
導入判断の要素はコスト以外にも、ステークホルダーからの要求、営業効果、いろいろあると思いますよ。
あと個人情報保護法への対応でいうと、BtoCかどうかよりも、法令で規定する取扱事業者に該当するかどうかが重要ですよ。
ぶりきさんに同感です。
最終的には、ステークホルダーの要求と予算とのバランス、さらには彼らがリスクをどの程度受容するか、というような様々な要素によって決定されると思います。制度対応については、投資効果なんていってられないですけど。
もう一つ、全くの私見ですが、'セキュリティ対策'というのも、曖昧な表現だと思っております。ある方はそれを'ネットワークセキュリティ対策'という意味で、別の方は'情報システムセキュリティ対策'という意味で、また別の方は'情報セキュリティ対策'という意味で使われているように感じます。そのために、投資効果を測るといった分野では、すれ違いが生じるのではないでしょうか…。
最終的には、ステークホルダーの要求と予算とのバランス、さらには彼らがリスクをどの程度受容するか、というような様々な要素によって決定されると思います。制度対応については、投資効果なんていってられないですけど。
もう一つ、全くの私見ですが、'セキュリティ対策'というのも、曖昧な表現だと思っております。ある方はそれを'ネットワークセキュリティ対策'という意味で、別の方は'情報システムセキュリティ対策'という意味で、また別の方は'情報セキュリティ対策'という意味で使われているように感じます。そのために、投資効果を測るといった分野では、すれ違いが生じるのではないでしょうか…。
>導入判断の要素はコスト以外にも、ステークホルダーからの要求、営業効果、いろいろあると思いますよ。
おっしゃるとおりですが、NPAの情報セキュリティガバナンス調査のアンケートによるとセキュリティ担当以上の経営権を持つ回答者の80%が「セキュリティ対策の費用効果が薄い事を感じている」事が米国より対策が遅れている原因だと回答しています。
導入判断の要素は仰るとおり色々ありますが、費用対効果が最大の懸念材料と言う事です。
私的意見を述べれば、今後のセキュリティ業界はROSIを重要視している企業と、度外視しているベンダーは勝ち組・負け組に分けられると思います。
お二方の意見に反論するのは、お二方とも投資効果が望めるというスタンスで意見されているにも関わらず、論拠を出さない事と、私の問いかけに製品が安いか高いかの見解を明示せず議題をそらしている様に見えるからです。
立場を明示出来ない理由があるのかもしれませんが･･･
議論のあり方を私が決める権利は無いですが、立場を明確にし
論拠を出し、意見を交わすのが建設的議論かと。
ビジネススタンスなら私の問いかけには以下の様な回答が返ってくると思います。
1.製品は高い。しかしこういう問題があるので現状高い。問題視してるので解決に望んでるよ。
2.製品は安い。こういった論拠があるから安い。
3.高いか安いか現状判断付かない。
naminekoさんがおっしゃっているようにセキュリティについて縦割りの議論は難しいと思うので、私がそちら側ならセキュリティ投資率の高い企業ほど成長率が高いという傾向分析調査結果を論拠に構えます。
正直費用対効果について技術系SEに意見を求めるのはお門違いなのですが、営業系SEには答えて貰いたい所です･･･
おっしゃるとおりですが、NPAの情報セキュリティガバナンス調査のアンケートによるとセキュリティ担当以上の経営権を持つ回答者の80%が「セキュリティ対策の費用効果が薄い事を感じている」事が米国より対策が遅れている原因だと回答しています。
導入判断の要素は仰るとおり色々ありますが、費用対効果が最大の懸念材料と言う事です。
私的意見を述べれば、今後のセキュリティ業界はROSIを重要視している企業と、度外視しているベンダーは勝ち組・負け組に分けられると思います。
お二方の意見に反論するのは、お二方とも投資効果が望めるというスタンスで意見されているにも関わらず、論拠を出さない事と、私の問いかけに製品が安いか高いかの見解を明示せず議題をそらしている様に見えるからです。
立場を明示出来ない理由があるのかもしれませんが･･･
議論のあり方を私が決める権利は無いですが、立場を明確にし
論拠を出し、意見を交わすのが建設的議論かと。
ビジネススタンスなら私の問いかけには以下の様な回答が返ってくると思います。
1.製品は高い。しかしこういう問題があるので現状高い。問題視してるので解決に望んでるよ。
2.製品は安い。こういった論拠があるから安い。
3.高いか安いか現状判断付かない。
naminekoさんがおっしゃっているようにセキュリティについて縦割りの議論は難しいと思うので、私がそちら側ならセキュリティ投資率の高い企業ほど成長率が高いという傾向分析調査結果を論拠に構えます。
正直費用対効果について技術系SEに意見を求めるのはお門違いなのですが、営業系SEには答えて貰いたい所です･･･
製品が高いのかどうかは、その製品で、どういった効果を得ているのか ですから・・・その効果によって確保できる価値が、製品の価格よりも安いなら導入したら損なわけです。そこでどーしても、「じゃぁ、守っているものの価値はどれだけ？」というものがない限り、高いとも安いとも言いようがないと思われるのですが・・・。
最初でも、費用対効果としてあげてますから、効果を考えるには、その製品そのものの効果（ウィルスを検出するとか、ポートをふさぐとかではなく）それによって、守れれる情報（やオブジェクト）そのものの価値をもってこないと、どーにもなりません。
# 「ポート１つへのアタックをふさいだらいくら」とか「ウィルスを１つ検出したらいくら」と直接換算できるなら別ですが・・・
得られる効果自体が、その製品の価格に対してよろしくない（よりよい方法がある）というのれあれば、より効率の良い製品を導入するなり、そういったサービスを提供するなりすればよいわけです（もしくは、自社に部署を置いて確保するのも手です。大抵はその方がコストが高くなるため製品を導入するなり、専門に行っている外部の組織（企業）にお願いするわけです）
# セキュリティホールが見つかってからの、それを利用したコードが出てくるまでの期間や、亜種の広まりや、無関心なユーザのぞんびＰＣなどの現状を考えると、そんなもんかな という感想（主にネットワークとＩＴ限定したセキュリティ）
あとは、大きな企業よりも、より小さな企業の方が、セキュリティに対してはより注意を払っていることも多いです。１度でも何かあれば、そこを乗り切るだけの資本がありませんから。
# もちろん、大きな企業なら乗り切れるからいいや と考えているというわけではありません。費用対効果の比較対象が損失ではなく存続そのものになる ということです。
最初でも、費用対効果としてあげてますから、効果を考えるには、その製品そのものの効果（ウィルスを検出するとか、ポートをふさぐとかではなく）それによって、守れれる情報（やオブジェクト）そのものの価値をもってこないと、どーにもなりません。
# 「ポート１つへのアタックをふさいだらいくら」とか「ウィルスを１つ検出したらいくら」と直接換算できるなら別ですが・・・
得られる効果自体が、その製品の価格に対してよろしくない（よりよい方法がある）というのれあれば、より効率の良い製品を導入するなり、そういったサービスを提供するなりすればよいわけです（もしくは、自社に部署を置いて確保するのも手です。大抵はその方がコストが高くなるため製品を導入するなり、専門に行っている外部の組織（企業）にお願いするわけです）
# セキュリティホールが見つかってからの、それを利用したコードが出てくるまでの期間や、亜種の広まりや、無関心なユーザのぞんびＰＣなどの現状を考えると、そんなもんかな という感想（主にネットワークとＩＴ限定したセキュリティ）
あとは、大きな企業よりも、より小さな企業の方が、セキュリティに対してはより注意を払っていることも多いです。１度でも何かあれば、そこを乗り切るだけの資本がありませんから。
# もちろん、大きな企業なら乗り切れるからいいや と考えているというわけではありません。費用対効果の比較対象が損失ではなく存続そのものになる ということです。
>高いか安いかは一般論では議論出来ない、ユーザーによって違う、という意見しか出ていないように思われますが...。
売っている側として自社製品の価格が高いか安いかはある程度感想が抱けるわけで、「一般的にセキュリティ対策は高いか安いか」は統計的感想が抱けると思います。
私は自分で算出した算出不可能な部分が大きい製品を除いた費用対投資効果の統計より「一般的にセキュリティ対策は現状高い」という感想を抱いています。
私が繰り返し問いかけているのは
>大根買うにしたって値段だけを重視する人は中国産を選ぶでしょうけど品質を考える人は国産無農薬でも安い、と判断するでしょう。
の例で言えば、モノによって違いはあるでしょうけど、野菜の値段は総括的に高いと思っているのですか？安いとおもっているのですか？という事を聞いているのです。
※再考すると、ベンダー側から言えば適正価格で売ってますと言わねば信用問題に発展するので、こういった特定多数のコミュニティでは私が求めている高い安いという感想は明示という事なのでしょうか？
>ROSIといったものはある時点で投資したときに損か得かを決める静的な判断基準で、価格変動といったものを包括して検討する基準ではないものと思われます。
ROSI研究は3種あります。
１、一般投資効果算出方法
２、特定のセキュリティ問題に限った場合の投資効果算出方法
３、投資価値の傾向分析
３は時系列に追随し結果が変化する物で、価格変動といったものを包括して検討する基準になると思います。
>それをROSIといった投資効果論と結びつけて論じると、むしろそれを正当化する方向へ行ってしまい、得策ではなさそうです。
こういった学術的研究は「投資効果がある」と言う結論を導くのは容易いですが、「投資効果がない」という為には背反理論として導かなければならず難しいため、おっしゃるとおりベンダー側が利用する論拠だと思います。
しかし私が１のベンダー側の論拠を用いて費用対効果を算出しながらも、費用対効果を捻出できなかったという経緯があり、製品高すぎて費用対効果は得られないのか？と思いこのトピックを立てました。
>42
投資効果が算出できない現状では、その様にエビデンス・セキュリティ以外の投資効果・最悪のケースを想定して･･･といった営業が主になってしまうのでしょうね。
しかし私の様な理系の人間や、経営権を持つ人間には概算であれ数値で示す事がセキュリティ対策に説得力を持たせる重要なキーポイントになると思います。
その為にも営業系SEの方には一般的な投資効果を説明出来る様になってもらいたいです。
勝ち負けという意見は、そこが弱いSEに対してはユーザ側からは信頼感を抱けず、情報漏洩より信頼失墜が大きな所かもしれませんね。と言う意見です･･･
売っている側として自社製品の価格が高いか安いかはある程度感想が抱けるわけで、「一般的にセキュリティ対策は高いか安いか」は統計的感想が抱けると思います。
私は自分で算出した算出不可能な部分が大きい製品を除いた費用対投資効果の統計より「一般的にセキュリティ対策は現状高い」という感想を抱いています。
私が繰り返し問いかけているのは
>大根買うにしたって値段だけを重視する人は中国産を選ぶでしょうけど品質を考える人は国産無農薬でも安い、と判断するでしょう。
の例で言えば、モノによって違いはあるでしょうけど、野菜の値段は総括的に高いと思っているのですか？安いとおもっているのですか？という事を聞いているのです。
※再考すると、ベンダー側から言えば適正価格で売ってますと言わねば信用問題に発展するので、こういった特定多数のコミュニティでは私が求めている高い安いという感想は明示という事なのでしょうか？
>ROSIといったものはある時点で投資したときに損か得かを決める静的な判断基準で、価格変動といったものを包括して検討する基準ではないものと思われます。
ROSI研究は3種あります。
１、一般投資効果算出方法
２、特定のセキュリティ問題に限った場合の投資効果算出方法
３、投資価値の傾向分析
３は時系列に追随し結果が変化する物で、価格変動といったものを包括して検討する基準になると思います。
>それをROSIといった投資効果論と結びつけて論じると、むしろそれを正当化する方向へ行ってしまい、得策ではなさそうです。
こういった学術的研究は「投資効果がある」と言う結論を導くのは容易いですが、「投資効果がない」という為には背反理論として導かなければならず難しいため、おっしゃるとおりベンダー側が利用する論拠だと思います。
しかし私が１のベンダー側の論拠を用いて費用対効果を算出しながらも、費用対効果を捻出できなかったという経緯があり、製品高すぎて費用対効果は得られないのか？と思いこのトピックを立てました。
>42
投資効果が算出できない現状では、その様にエビデンス・セキュリティ以外の投資効果・最悪のケースを想定して･･･といった営業が主になってしまうのでしょうね。
しかし私の様な理系の人間や、経営権を持つ人間には概算であれ数値で示す事がセキュリティ対策に説得力を持たせる重要なキーポイントになると思います。
その為にも営業系SEの方には一般的な投資効果を説明出来る様になってもらいたいです。
勝ち負けという意見は、そこが弱いSEに対してはユーザ側からは信頼感を抱けず、情報漏洩より信頼失墜が大きな所かもしれませんね。と言う意見です･･･
そもそもベンダーは、自社の製品は世界最高のものであり、当然その水準に見合うだけの価格だと思っているのでは？そういった立場の方に、貴社の製品価格は高いのでは？という問いかけは、いささか愚問のようにも思えます。ユーザーとベンダーとは、そのくらい意識が違うものだと思った方がよいでしょう。そうでないベンダーに出会ったら、運がよいくらいの気持ちで。:)
さて、投資効果のお話ですが、一般論としても所さんがおっしゃる'セキュリティ対策投資'の範囲が私には未だわかりかねます。何故なら、バックアップや他の方が先におっしゃていた通り監視に係るものまで含める場合がありますもの…。所さんがいう投資は、先にちらっと出たウイルス対策費のみですか？
さて、投資効果のお話ですが、一般論としても所さんがおっしゃる'セキュリティ対策投資'の範囲が私には未だわかりかねます。何故なら、バックアップや他の方が先におっしゃていた通り監視に係るものまで含める場合がありますもの…。所さんがいう投資は、先にちらっと出たウイルス対策費のみですか？
個人的な意見ですが･･･
結局、高いか安いかを判断するのはユーザーなわけで、やっぱりメーカーとしてはそれが適正価格であると判断して価格を決定している「ハズ」ですから、やはりユーザーから見て、ということになってしまいがちかと。
あと全体的に高いかどうかも結局、ケースバイケースでしょうからやはり総括的に語るのは若干無理があるように思います。
正直に申し上げて本トピックで上げられている横文字やカタカナは殆ど理解していないのでアレですが、なんとなーく本質的なところで無い部分で上げ足とって騒いでいるような感想を抱いてしまいます。
あ、ただ書かれていることに一定の共感がないわけではないので念のため。確かにきちんとした提案が出来ないようなベンダーが結構いるのも事実でしょうし、そういった不信感を抱かせるようなベンダーに辟易している部分があるのかなぁというのもありますし。
以下戯言ですが･･･
なんとなく、IT化そのものの話みたい。
コンピューターを入れれば業務は飛躍的にはかどるって営業してるけど、結局やらなくちゃならない業務が増えて、結果相対的には大して生産効率は上がって無い。IT化って、総括的に見てぼったくりだと思いませんか？
ほら。なんか似てる???
結局、高いか安いかを判断するのはユーザーなわけで、やっぱりメーカーとしてはそれが適正価格であると判断して価格を決定している「ハズ」ですから、やはりユーザーから見て、ということになってしまいがちかと。
あと全体的に高いかどうかも結局、ケースバイケースでしょうからやはり総括的に語るのは若干無理があるように思います。
正直に申し上げて本トピックで上げられている横文字やカタカナは殆ど理解していないのでアレですが、なんとなーく本質的なところで無い部分で上げ足とって騒いでいるような感想を抱いてしまいます。
あ、ただ書かれていることに一定の共感がないわけではないので念のため。確かにきちんとした提案が出来ないようなベンダーが結構いるのも事実でしょうし、そういった不信感を抱かせるようなベンダーに辟易している部分があるのかなぁというのもありますし。
以下戯言ですが･･･
なんとなく、IT化そのものの話みたい。
コンピューターを入れれば業務は飛躍的にはかどるって営業してるけど、結局やらなくちゃならない業務が増えて、結果相対的には大して生産効率は上がって無い。IT化って、総括的に見てぼったくりだと思いませんか？
ほら。なんか似てる???
>ほら。なんか似てる???
なんか似ていると言えば、「ペーパーレスの神話」もそうですよね。（ｗ
かえって紙増えているオフィスの方が多くありません？
しかも、溶解処理とか始末に困る始末。。。
>結局、高いか安いかを判断するのはユーザーなわけで、やっぱりメーカーとしてはそれが適正価格であると判断して価格を決定している「ハズ」ですから、やはりユーザーから見て、ということになってしまいがちかと。
メーカーが考える「適正」とユーザが考える「適正」が違うというのも大きいでしょうね。
多分、ユーザが高いと思っても買わないわけにはいかない状態がメーカーの考える「適正」価格でしょうし、メーカーが採算割れするような「霞喰って生きろ」値段がユーザの考える「適正」かもしれませんし。（ｗ
結局は、その間のせめぎ合い、キツネとタヌキの化かし合いになる部分で信じられない、信じられるの話をするわけで。（ｗ
＃でも、「高い」と思って「必要ない」と思うなら買わなきゃ
＃いいだけでしょう？単純な話だと思うんですが。何でこんな
＃に入り組んだ話になって、ベンダバッシングに奔るんでしょう？
なんか似ていると言えば、「ペーパーレスの神話」もそうですよね。（ｗ
かえって紙増えているオフィスの方が多くありません？
しかも、溶解処理とか始末に困る始末。。。
>結局、高いか安いかを判断するのはユーザーなわけで、やっぱりメーカーとしてはそれが適正価格であると判断して価格を決定している「ハズ」ですから、やはりユーザーから見て、ということになってしまいがちかと。
メーカーが考える「適正」とユーザが考える「適正」が違うというのも大きいでしょうね。
多分、ユーザが高いと思っても買わないわけにはいかない状態がメーカーの考える「適正」価格でしょうし、メーカーが採算割れするような「霞喰って生きろ」値段がユーザの考える「適正」かもしれませんし。（ｗ
結局は、その間のせめぎ合い、キツネとタヌキの化かし合いになる部分で信じられない、信じられるの話をするわけで。（ｗ
＃でも、「高い」と思って「必要ない」と思うなら買わなきゃ
＃いいだけでしょう？単純な話だと思うんですが。何でこんな
＃に入り組んだ話になって、ベンダバッシングに奔るんでしょう？
別トピの議論で得た知識を利用して、再検証させてください。
・平均セキュリティ投資額が従業員1人当たり年間\16,000
・平均セキュリティ被害額は従業員1人当たり年間\2,000
との事ですが、セキュリティに投資していなかった場合、
平均セキュリティ被害額は従業員1人当たり年間\14,000を超える可能性があります。
これが、所謂、機会損失だと思います。
例えば、ＦＷ無しでインターネット繋いでいたら、平均セキュリティ被害額はかなり増加するでしょう。
また、セキュリティリスクは、日々増加しています。
現在の平均セキュリティ被害額は従業員1人当たり年間\2,000を維持できる保証はありません。
実際に企業は、コスト削減の為、専用線からインターネットへ、ビジネスをシフトしています。
その時に発生しうるセキュリティリスクから、機会損失を算出し、セキュリティリスクに見合ったセキュリティ投資を行えば良いと考えます。
損害額の算定が困難ならば、条件を仮定すれば良いと思います。
例えば、信用失墜の場合、
・信用失墜後1年目の年間売上前年比40%ダウン
・信用失墜後2年目の年間売上前年比5%アップ（信頼回復分）
・信用失墜後3年目の年間売上前年比5%アップ（信頼回復分）
・信頼回復に係わる費用は毎年、前年営業費の50%
など、算定可能だと思います。
ユーザ側にしろベンダ側にしろ、ユーザの業務を理解していれば、機会損失は、手に取るように見えるかと思います。
現実問題としては、業務を理解していないＳＥが多いのが痛いところです。
あと、↓こんな考え方もあるようです。
http://itpro.nikkeibp.co.jp/article/OPINION/20060224/230641/
いかがでしょうか？
・平均セキュリティ投資額が従業員1人当たり年間\16,000
・平均セキュリティ被害額は従業員1人当たり年間\2,000
との事ですが、セキュリティに投資していなかった場合、
平均セキュリティ被害額は従業員1人当たり年間\14,000を超える可能性があります。
これが、所謂、機会損失だと思います。
例えば、ＦＷ無しでインターネット繋いでいたら、平均セキュリティ被害額はかなり増加するでしょう。
また、セキュリティリスクは、日々増加しています。
現在の平均セキュリティ被害額は従業員1人当たり年間\2,000を維持できる保証はありません。
実際に企業は、コスト削減の為、専用線からインターネットへ、ビジネスをシフトしています。
その時に発生しうるセキュリティリスクから、機会損失を算出し、セキュリティリスクに見合ったセキュリティ投資を行えば良いと考えます。
損害額の算定が困難ならば、条件を仮定すれば良いと思います。
例えば、信用失墜の場合、
・信用失墜後1年目の年間売上前年比40%ダウン
・信用失墜後2年目の年間売上前年比5%アップ（信頼回復分）
・信用失墜後3年目の年間売上前年比5%アップ（信頼回復分）
・信頼回復に係わる費用は毎年、前年営業費の50%
など、算定可能だと思います。
ユーザ側にしろベンダ側にしろ、ユーザの業務を理解していれば、機会損失は、手に取るように見えるかと思います。
現実問題としては、業務を理解していないＳＥが多いのが痛いところです。
あと、↓こんな考え方もあるようです。
http://itpro.nikkeibp.co.jp/article/OPINION/20060224/230641/
いかがでしょうか？
なんか、楽しそうなので、本格参戦します。
セキュリティの単価が高いのは、ベンダー、ユーザ、攻撃者のせいでしょう。
すべてのユーザが適切なセキュリティを確保しておけば特に問題はありませんが、なぜだか、往々にして問題が起こったときにベンダーに泣き付きます。あわてているところに提示される金額ですから高めですが、あわてている分その金額を飲みます。これが標準価格の基準になりますから、当然単価は高くなります。
ぼったくていると言われていますが、セキュリティを極めると結構レベルが高い状況も発生します。例えば、バッファーオーバーフローが起こった時の正常の動作は？と聞かれて、まともな技術者はきちんと答えられるでしょうか。正規ベンダーも勿論、十分理解されている技術者でもほとんど無理です。
でも攻撃者はそれを当然のごとく行っているわけです。これに対して通常の工数評価を行うのは不可能でしょう。
んで、はっきり言っちゃいますと、ターゲットの情報を取得することなど、どんな方法でも可能だし、絶対に守り通すことはできません。
その結果低レベルのセキュリティだと安いけどほとんど守れない。中レベルだと値段が高いけど程々守れます。高レベルだと割高(費用対効果が最悪)だけど十分安心していられるレベルになります。
ってことでしょう。
はっきり言って費用対効果を基準にするなら、セキュリティレベル低にすべきでしょう。
セキュリティの単価が高いのは、ベンダー、ユーザ、攻撃者のせいでしょう。
すべてのユーザが適切なセキュリティを確保しておけば特に問題はありませんが、なぜだか、往々にして問題が起こったときにベンダーに泣き付きます。あわてているところに提示される金額ですから高めですが、あわてている分その金額を飲みます。これが標準価格の基準になりますから、当然単価は高くなります。
ぼったくていると言われていますが、セキュリティを極めると結構レベルが高い状況も発生します。例えば、バッファーオーバーフローが起こった時の正常の動作は？と聞かれて、まともな技術者はきちんと答えられるでしょうか。正規ベンダーも勿論、十分理解されている技術者でもほとんど無理です。
でも攻撃者はそれを当然のごとく行っているわけです。これに対して通常の工数評価を行うのは不可能でしょう。
んで、はっきり言っちゃいますと、ターゲットの情報を取得することなど、どんな方法でも可能だし、絶対に守り通すことはできません。
その結果低レベルのセキュリティだと安いけどほとんど守れない。中レベルだと値段が高いけど程々守れます。高レベルだと割高(費用対効果が最悪)だけど十分安心していられるレベルになります。
ってことでしょう。
はっきり言って費用対効果を基準にするなら、セキュリティレベル低にすべきでしょう。
っていうか、単純に、すべてを金額に置き換えればすむ問題では？
すべての項目で金額に変換していないから分からなくなるんでしょう。コンプライアンス違反を起こした場合、どのくらい営業損失がある、とか指名停止でどのくらい機会損失があるとか。金額出したんでしょうか。
そもそも、この状態で経営陣に判断を仰いだほうが遺憾でしょう。だって彼らはお金のことしか理解できないんだもん。ウイルスの脅威レベル8っていってもさっぱりでしょう。そういう場合は、お金で会話をするしかないでしょ。
でもなんでか、すべてのリスクをお金で換算していない、から、分からなくなる。
その上ですべてを費用対効果に置き換えるんじゃなくて、保険金額としての妥当性を提示すればいいんじゃないの。
そもそも、経理的に議論がおかしいんじゃないかと。投資効果って、投資資本に対する対価を求めるものだけど、セキュリティは基本的に対価はマイナスだから。
これも絶対じゃなくて、HサイトがSSLを導入するとか、指名入札条件としてプライバシーマークなんて普通にあることだからねぇ。だから、普通に投資対効果がマイナスになるものに関して具体的に費用対効果は？と聞かれても、普通にマイナスになるとしか言えないんデスケド・・・
すべての項目で金額に変換していないから分からなくなるんでしょう。コンプライアンス違反を起こした場合、どのくらい営業損失がある、とか指名停止でどのくらい機会損失があるとか。金額出したんでしょうか。
そもそも、この状態で経営陣に判断を仰いだほうが遺憾でしょう。だって彼らはお金のことしか理解できないんだもん。ウイルスの脅威レベル8っていってもさっぱりでしょう。そういう場合は、お金で会話をするしかないでしょ。
でもなんでか、すべてのリスクをお金で換算していない、から、分からなくなる。
その上ですべてを費用対効果に置き換えるんじゃなくて、保険金額としての妥当性を提示すればいいんじゃないの。
そもそも、経理的に議論がおかしいんじゃないかと。投資効果って、投資資本に対する対価を求めるものだけど、セキュリティは基本的に対価はマイナスだから。
これも絶対じゃなくて、HサイトがSSLを導入するとか、指名入札条件としてプライバシーマークなんて普通にあることだからねぇ。だから、普通に投資対効果がマイナスになるものに関して具体的に費用対効果は？と聞かれても、普通にマイナスになるとしか言えないんデスケド・・・
>kenpapaさん
別トピで費用対効果について調べられていた様なので、コメントさせて頂きます。
FW無しの状況
→仮定が過剰になっております。
インターネットVPNの危険性
→一部のVPN方式で盗聴が行える事が知られておりますので、今後の危険性は無い訳では無いと思いますが、過剰考察だと思われます。
売上前年比40%ダウン
→仮定が過剰になっております。
情報漏洩事件が起きた場合に株価への影響が無い事が研究で示されておりますので、下方修正願います。
機会損失は、手に取るように見えるかと思います。
→SOX法施行までには小生もそうありたいです。
>あと、↓こんな考え方もあるようです。
→IT系、EC系、金融系等の業種であれば同意です。
※当トピでの議論は、以下の事を前提としております。
・平均以上のセキュリティ対策は実施してある。
・情報漏洩とウィルス等では被害規模が異なる。
別トピでkenpapaさんは、検疫ＮＷを導入したいとの事でしたので、コメントさせて頂きます。
検疫ＮＷは以下の要素に分割されます。
・ＰＣのセキュリティ対策徹底(ウィルス対策)
・未登録ＰＣの排除(不正アクセス対策)
・プロセス監視等(内部不正行為対策)
※暗号化ソフト等は除きます。
シンクライアント等も同じ事が言えるのですが、検疫ＮＷを導入検討されているステージの企業では、費用対効果が得られる額でベンダーより提案されてはいないと思います。
セキュリティの費用対効果については、情報漏洩を絡めればいくらでも捻出できますが、検疫ＮＷはミッションクリティカルな情報漏洩対策とは言えませんので、まともな企業であればそう容易く費用対効果は捻出出来ないはずです。
kenpapaさんの検疫ＮＷの導入理由が、
>新し物好きなので検疫ＮＷ導入したい。
と言うことであれば、正常な経営判断の為に再検討を行うべきと思います。
ついでに、AD導入されていないようですので、AD導入から段階を踏んで検疫ＮＷの導入検討をされるべきかと思います。
別トピで費用対効果について調べられていた様なので、コメントさせて頂きます。
FW無しの状況
→仮定が過剰になっております。
インターネットVPNの危険性
→一部のVPN方式で盗聴が行える事が知られておりますので、今後の危険性は無い訳では無いと思いますが、過剰考察だと思われます。
売上前年比40%ダウン
→仮定が過剰になっております。
情報漏洩事件が起きた場合に株価への影響が無い事が研究で示されておりますので、下方修正願います。
機会損失は、手に取るように見えるかと思います。
→SOX法施行までには小生もそうありたいです。
>あと、↓こんな考え方もあるようです。
→IT系、EC系、金融系等の業種であれば同意です。
※当トピでの議論は、以下の事を前提としております。
・平均以上のセキュリティ対策は実施してある。
・情報漏洩とウィルス等では被害規模が異なる。
別トピでkenpapaさんは、検疫ＮＷを導入したいとの事でしたので、コメントさせて頂きます。
検疫ＮＷは以下の要素に分割されます。
・ＰＣのセキュリティ対策徹底(ウィルス対策)
・未登録ＰＣの排除(不正アクセス対策)
・プロセス監視等(内部不正行為対策)
※暗号化ソフト等は除きます。
シンクライアント等も同じ事が言えるのですが、検疫ＮＷを導入検討されているステージの企業では、費用対効果が得られる額でベンダーより提案されてはいないと思います。
セキュリティの費用対効果については、情報漏洩を絡めればいくらでも捻出できますが、検疫ＮＷはミッションクリティカルな情報漏洩対策とは言えませんので、まともな企業であればそう容易く費用対効果は捻出出来ないはずです。
kenpapaさんの検疫ＮＷの導入理由が、
>新し物好きなので検疫ＮＷ導入したい。
と言うことであれば、正常な経営判断の為に再検討を行うべきと思います。
ついでに、AD導入されていないようですので、AD導入から段階を踏んで検疫ＮＷの導入検討をされるべきかと思います。
＞57: 所によりジョージ さん
トピの主旨に戻ると、私が言いたいのは、機会損失も考慮しましょうという事です。
それを説明するのに、大袈裟な例を出しました。
しかし、
> 売上前年比40%ダウン
> →仮定が過剰になっております。
> 情報漏洩事件が起きた場合に株価への影響が無い事が研究で示されておりますの
> で、下方修正願います。
私も株価については調査しましたが、株価への影響が出た事例は無いですね。
しかし、今後のセキュリティリスクによる事件で株価に影響が出る可能性は否定できません。
また、ここで示したのは株価の低下ではなく、売上の低下です。
信用失墜により、前年売上の15%になった事例もあります。
40%ダウンは、甘いほうです。
株の減資などに追い込まれる事例もあります。
（同じ企業ですが。。）
> >新し物好きなので検疫ＮＷ導入したい。
> と言うことであれば、正常な経営判断の為に再検討を行うべきと思います。
経営判断の為に、只今、リスクをシミュレーションしております。
想定するリスクによる機会損失は、めでたく投資を上回る見込みです。
トピの主旨に戻ると、私が言いたいのは、機会損失も考慮しましょうという事です。
それを説明するのに、大袈裟な例を出しました。
しかし、
> 売上前年比40%ダウン
> →仮定が過剰になっております。
> 情報漏洩事件が起きた場合に株価への影響が無い事が研究で示されておりますの
> で、下方修正願います。
私も株価については調査しましたが、株価への影響が出た事例は無いですね。
しかし、今後のセキュリティリスクによる事件で株価に影響が出る可能性は否定できません。
また、ここで示したのは株価の低下ではなく、売上の低下です。
信用失墜により、前年売上の15%になった事例もあります。
40%ダウンは、甘いほうです。
株の減資などに追い込まれる事例もあります。
（同じ企業ですが。。）
> >新し物好きなので検疫ＮＷ導入したい。
> と言うことであれば、正常な経営判断の為に再検討を行うべきと思います。
経営判断の為に、只今、リスクをシミュレーションしております。
想定するリスクによる機会損失は、めでたく投資を上回る見込みです。
kenpapaさん
>想定するリスクによる機会損失は、めでたく投資を上回る見込みです。
前提が違うのでしょうね。
ウチは現状存在するセキュリティ対策製品で、新規に導入する製品ほとんど残ってない状況です。
ここ数年ウィルス感染０ですし。(未知のウィルスの危険性は当然考えてますよ･･･。)
ところで検疫ＮＷ入れる事による機会損失は計上しましたか？
検疫ＮＷってWindowsUpdate更新されてないだけで通信断になって相当機会損失高そうですが？
検疫ＮＷ導入して費用対効果が得られるって聞くと、WindowsUpdateすら満足に実施されていなさそうに感じます。
ついでに信用失墜の話をされてますので情報漏洩については当然考察されていると思いますが、検疫ＮＷでどれくらい情報漏洩に対策を講じられる見込みですか？
推測ですが、kenpapaさんの会社は費用対効果云々話す前段階のレベルで、優先順位の高く安くつく対策からやってく方が導入判断として妥当かと･･･。
ＷＳＵＳすらない状況で検疫ＮＷってありえないですよ･･･。
>想定するリスクによる機会損失は、めでたく投資を上回る見込みです。
前提が違うのでしょうね。
ウチは現状存在するセキュリティ対策製品で、新規に導入する製品ほとんど残ってない状況です。
ここ数年ウィルス感染０ですし。(未知のウィルスの危険性は当然考えてますよ･･･。)
ところで検疫ＮＷ入れる事による機会損失は計上しましたか？
検疫ＮＷってWindowsUpdate更新されてないだけで通信断になって相当機会損失高そうですが？
検疫ＮＷ導入して費用対効果が得られるって聞くと、WindowsUpdateすら満足に実施されていなさそうに感じます。
ついでに信用失墜の話をされてますので情報漏洩については当然考察されていると思いますが、検疫ＮＷでどれくらい情報漏洩に対策を講じられる見込みですか？
推測ですが、kenpapaさんの会社は費用対効果云々話す前段階のレベルで、優先順位の高く安くつく対策からやってく方が導入判断として妥当かと･･･。
ＷＳＵＳすらない状況で検疫ＮＷってありえないですよ･･･。
>63: 所によりジョージ さん
WSUSは併せて入れるつもりです。
隔離機能については、費用対効果が出ないと判断しています。
おっしゃる通り、リスクの塊です。
最初は、実験的にやって、業務に影響が出る可能性があると判断すれば、対策を考えるという、対症療法になるかと思います。
情報漏洩に限らず、端末を識別できる機能の部分で費用対効果を捻出するつもりです。
これについては、認証システムを別途見積もりしてもらっており、比較したいところです。
>64: 所によりジョージ さん
製造業です。
ちなみに、信用失墜の原因は、ITと情報セキュリティには無関係です。
余談ですが、
もし、世の中の人の全てが心の広い方であれば、信用失墜によるリスクは考える必要は無いです。
残念ながら、世の中の人の全てが心の広い方という前提はありえないので、信用失墜によるリスクを考える必要があります。
ここで、「心が広い」とは、どんな事件を起こしても、その会社の販売している商品を今までどおり購入する事を意味しています。
WSUSは併せて入れるつもりです。
隔離機能については、費用対効果が出ないと判断しています。
おっしゃる通り、リスクの塊です。
最初は、実験的にやって、業務に影響が出る可能性があると判断すれば、対策を考えるという、対症療法になるかと思います。
情報漏洩に限らず、端末を識別できる機能の部分で費用対効果を捻出するつもりです。
これについては、認証システムを別途見積もりしてもらっており、比較したいところです。
>64: 所によりジョージ さん
製造業です。
ちなみに、信用失墜の原因は、ITと情報セキュリティには無関係です。
余談ですが、
もし、世の中の人の全てが心の広い方であれば、信用失墜によるリスクは考える必要は無いです。
残念ながら、世の中の人の全てが心の広い方という前提はありえないので、信用失墜によるリスクを考える必要があります。
ここで、「心が広い」とは、どんな事件を起こしても、その会社の販売している商品を今までどおり購入する事を意味しています。
- mixiユーザー
- ログインしてコメントしよう！
|
|
|
|
ネットワーク&セキュリティ 更新情報
ネットワーク&セキュリティのメンバーはこんなコミュニティにも参加しています
人気コミュニティランキング
- 1位
- 食べ物写真をつい撮ってしまう人
- 20313人
- 2位
- 30代〜40代から友達作り【友活】
- 35875人
- 3位
- 写真を撮るのが好き
- 209876人