ITシステムセキュリティと統制へようこそ！

皆さん、こんにちは！SBL（Strategic Business Leader）の学習過程において、最も実践的で重要な章の一つへようこそ。「ITセキュリティなんて、技術専門家の仕事ではないの？」と思うかもしれません。しかし、将来の戦略的リーダーである皆さんには、デジタル上の脅威からビジネスを守る責任があります。もしITシステムがダウンしたりハッキングされたりすれば、戦略全体が失敗に終わってしまうからです！この章では、何が起きてもデータを守り、ビジネスを円滑に継続させる方法を学びます。

「ITは苦手」という方も心配しないでください。実社会の例え話を交えながら、すべての要素をシンプルに紐解いていきます。

1. ITセキュリティの3本柱：CIAの三要素

システムの保護方法を見る前に、私たちが何を達成しようとしているのかを知る必要があります。あらゆるセキュリティ戦略は、「CIAの三要素」と呼ばれる3つの目標を目指しています。

  • 機密性（Confidentiality）： 機密データが、権限を持つ人だけがアクセスできる状態にあること。（自分宛てに封がされた手紙をイメージしてください。）
  • 完全性（Integrity）： データが正確かつ完全であり、改ざんされていないこと。（銀行の明細書のように、支出が過不足なく正確に記録されている状態を指します。）
  • 可用性（Availability）： システムやデータが、ビジネスが必要とする時にいつでも使える状態にあること。（深夜2時に現金が必要な時に、ATMが使えるような状態です。）

ワンポイントアドバイス： 試験問題でデータ侵害の影響を問われたら、自問自答してみてください。「データが盗まれたのか（機密性）？」「改ざんされたのか（完全性）？」「システムが停止したのか（可用性）？」

まとめ： CIAの三要素はセキュリティの「ゴールドスタンダード（黄金律）」です。このうち一つでも損なわれれば、ビジネスは危機に瀕します。

2. ITシステムへの脅威を特定する

脅威（Threat）とは、ITシステムを混乱させる可能性のあるあらゆる要因を指します。これらは大きく3つのグループに分けられます。

A. 人的脅威（意図的）

いわゆる「悪意のある者」です。ハッカーや、復讐心を持つ不満を抱えた従業員、企業秘密を盗もうとする産業スパイなどが含まれます。

B. 人的脅威（非意図的）

信じられないかもしれませんが、これが最も大きなリスクになることがよくあります！ファイルの誤削除、ずさんなパスワード管理、メール内のフィッシングリンクのクリックなどがこれに当たります。ミスは誰にでも起こりますが、その代償は甚大です！

C. 環境的・技術的脅威

これは人以外による問題です。火災、洪水、停電、あるいはハードウェアの故障（サーバーのクラッシュなど）が挙げられます。

豆知識： 主要なセキュリティ侵害のほとんどは、誰かが電車にノートPCを忘れたり、「Password123」といった単純なパスワードを使ったりするような、ちょっとしたヒューマンエラーから始まります。

3. 全体統制と業務処理統制

これらの脅威を防ぐために、私たちは統制（コントロール）を用います。SBLでは、これを2つのカテゴリーに分けます。この違いを理解することが極めて重要です！

全体IT統制（GITC：General IT Controls）

組織全体のすべてのシステムに適用される統制です。あらゆるものが動くための安全な環境を作り出します。工場の「正門にいる警備員」をイメージしてください。

  • 物理的アクセス制御： サーバー室の施錠、防犯カメラ、IDバッジによる入退室管理。
  • 論理的アクセス制御： 強力なパスワードや、ネットワークログイン時の多要素認証（MFA）の利用。
  • バックアップと復旧： 別の場所にデータを定期的に保存する。
  • システム開発統制： 新しいソフトウェアを利用する前に、適切にテストされていることを確認する。

業務処理統制（Application Controls）

特定のタスクやプログラム（給与計算ソフトや販売システムなど）固有の統制です。入力されたデータが正しいことを保証します。工場のライン内での「品質チェック」をイメージしてください。

  • 編集チェック： 「電話番号」の入力欄にテキスト形式の名前を入力しようとすると、システムがブロックする。
  • 範囲チェック： マネージャーが従業員に1週間の給与として100万ドルを支払おうとすると、システムがエラーを出す。
  • バッチ合計： 入力した50件の請求書の合計が、コンピューターが計算した合計と一致することを確認する。

重要なポイント： 全体統制はビル全体を守り、業務処理統制はビル内で行われる特定の業務が正確であることを保証します。

4. サイバーセキュリティ戦略

サイバーセキュリティとは、「デジタルの境界線」を守ることです。リーダーとして、「多層防御（Defense in Depth）」というアプローチを推奨しましょう。これは、複数の保護層を重ねて備えることを意味します。

注意すべき一般的なサイバー攻撃：

  • フィッシング： パスワードを盗み出すために、ユーザーを騙す偽メール。
  • ランサムウェア： ファイルを暗号化してロックし、解除のための身代金を要求するソフトウェア。
  • マルウェア： システムに損害を与える有害なソフトウェア（ウイルスやワームなど）の総称。

強力な防御を築くには：

  1. ファイアウォール： ネットワークの内外を行き来する通信をフィルタリングするデジタル上の壁。
  2. 暗号化： データを読み取り不能な状態に変換し、盗まれても「キー」なしでは読めなくする。
  3. パッチ管理： セキュリティの「穴」を塞ぐために、ソフトウェアを定期的に更新する。
  4. 従業員研修： 不審なリンクをクリックしないよう従業員を教育する。（これが最も効果的な統制になることがよくあります！）

記憶法： セキュリティの層を思い出すには「P.E.T.S.」で覚えましょう：Passwords（パスワード）、Encryption（暗号化）、Training（研修）、Software updates（ソフトウェア更新）。

5. ビジネス継続計画と災害復旧計画（BCP & DRP）

どれほど優れたセキュリティを備えていても、何かが起こる可能性はあります。ビジネス継続計画（BCP）は、ビジネス全体にとっての「プランB」です。「もしオフィスが火災で焼失したり、ITシステムが全滅したりしても、どうやって取引を続けるのか？」を考えます。

復旧計画の主要構成要素：

  • 災害復旧計画（DRP）： 技術的な側面。IT専門家がどのようにサーバーとデータを復旧させるかの計画。
  • 代替サイト：
    • コールドサイト： 電力供給はあるが、機器がない空の建物。（安価だが、準備に時間がかかる）
    • ウォームサイト： ハードウェアはあるが、ライブデータはない建物。
    • ホットサイト： データのミラーリングが完了しているフル装備の施設。（高価だが、数分でビジネスを再開できる！）

よくある間違い： BCPとDRPを混同しないこと。BCPはビジネスが生き残るための広範な戦略であり、DRPはコンピューターをオンラインに戻すための具体的なIT技術プロセスです。

まとめ： レジリエンス（回復力）とは、「最悪の事態」に備えることで、災害が会社を終わらせる事態にならないようにすることです。

復習ボックス

1. CIAの三要素とは？ 機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）。
2. 全体統制と業務処理統制の違いは？ 全体統制＝システム環境全体、業務処理統制＝個別のデータ入力や処理。
3. 最良のサイバー防御は？ 技術的ツール（ファイアウォール/暗号化）と人的ツール（研修）の組み合わせ。
4. 「ホットサイト」とは？ 即座に使用可能な、完全に機能するバックアップオフィス。

大丈夫、あなたならできます！ITセキュリティとは、分別を持ち、整理整頓を心がけ、先回りして行動することに他なりません。これらの概念を忘れずにいれば、SBLの試験でどのようなIT関連のシナリオが出題されても、必ず対処できます！