CISO(最高情報セキュリティ責任者)は重大なセキュリティインシデントを心配する。こうしたインシデントが発生すると社内での地位も脅かされると考えるからだ。だが、実際には、CISOは主に侵害への対応で評価される。
この記事は会員限定です。会員登録(無料)すると全てご覧いただけます。
ガートナーの米国本社発のオフィシャルサイト「Smarter with Gartner」と、ガートナー アナリストらのブログサイト「Gartner Blog Network」から、@IT編集部が独自の視点で“読むべき記事”をピックアップして翻訳。グローバルのITトレンドを先取りし「今、何が起きているのか、起きようとしているのか」を展望する。
CISOは「重大なセキュリティ侵害が発生すると自身の職を失う」と心配し、長期的な取り組みよりも短期的な優先事項に注力したくなるかもしれない。だが、実際には、ほとんどのCISOはキャリアの中で重大なセキュリティ侵害を経験するものの、多くの場合、侵害が発生したという事実よりも、インシデント対応の有効性で評価される。
CISOが侵害を理由に解雇されるケースもまれにあるが、その場合、CISOはインシデント対応の準備や計画の際に、ビジネスへの被害を適切に軽減するためのデューデリジェンス(事前調査)を怠っていた可能性が高い。
準備と実際の対応に時間と注意を向けることで、インシデント対応の全体的な効果が高まり、取締役会、CEO(最高経営責任者)、他のCxO(Cレベルの経営幹部)の期待によりよく応えられる。
「私たちの調査では、CISOの在任期間は、CISOがコントロールできない事象よりも、コントロールできる事象によって直接的に決定されることが分かっている。この理想的な現実を受け入れ、短期目標と長期目標の適切なバランスを取るとよい。そのためには、目標とプロジェクトポートフォリオの適切な優先順位付けが必要になる」と、Gartnerのリサーチ担当でシニアプリンシパルのジョシュ・マーフィ(Josh Murphy)氏は語る。
Copyright © ITmedia, Inc. All Rights Reserved.