「セキュリティチャンピオンプログラム」を成功させるための4カ条：Gartner Insights Pickup（54）

よく練られた「セキュリティチャンピオン（推進リーダー）プログラム」は、組織の長期的な行動変化を後押しする。では、セキュリティチャンピオンとは何か。どうやって有効なプログラムを構築すればいいのだろうか。

» 2018年03月30日 05時00分公開

[Susan Moore, Gartner]

ガートナーの米国本社発のオフィシャルサイト「Smarter with Gartner」と、ガートナーアナリストらのブログサイト「Gartner Blog Network」から、＠IT編集部が独自の視点で“読むべき記事”をピックアップして翻訳。グローバルのITトレンドを先取りし「今、何が起きているのか、起きようとしているのか」を展望する。

　大企業で働いている人は、「フィッシング対策：行動管理コース」といったコンピュータベースのセキュリティ啓発トレーニングを受講するよう言われたことがあるだろう。

　「こうした従来のセキュリティ啓発アプローチには問題がある。多様な従業員――特に、グローバル企業の従業員の文化や現地の多様なニーズに対応できる柔軟性がないことだ」と、Gartnerのリサーチディレクターを務めるジョアナ・ユイスマン氏は指摘する。

　セキュリティリーダーは、セキュリティ文化の重要性を伝えるのにいつも苦労している。従業員は、セキュリティの責任を1つの部署が負う事項と考えがちであり、そのため、セキュリティ環境全体に関する責任を全員で真に共有するのは難しい。

セキュリティチャンピオンの役割とは

　「セキュリティチャンピオン（推進リーダー）プログラム」の策定は、セキュリティリーダーがセキュリティに関するメッセージの伝達を低コスト、またはゼロコストでスピードアップする方法だ。このプログラムによって、一貫したセキュリティ情報を現地レベルで周知できるネットワークが形成される。

　セキュリティチャンピオンはビジネス、IT、開発、デリバリー部門のメンバーであり、セキュリティ問題に関する追加のトレーニングを受けている。セキュリティ問題の技術的な側面には関与しないが各部署の専門家として活動し、質問に答えたり、トレーニングを勧めたり、セキュリティ専門家と協力して踏み込んだ質問に対する答えを見いだしたり、問題のエスカレーションを行ったりできる。

　「適切なセキュリティチャンピオンプログラムは、セキュリティ文化の一体性を高め、裾野を広げる。企業全体でセキュリティへの取り組み体制を現地化することで、セキュリティ対策が社内に深く浸透する」（ユイスマン氏）

　Gartnerは、2021年までに35％の企業がセキュリティチャンピオンプログラムを実施するようになると予想している。2017年には、実施企業の割合は10％未満にとどまっていた。