私は最近、情報化時代におけるCSO（最高セキュリティ責任者）とCISO（最高情報セキュリティ責任者）の役割に関する取材を受けました。すでに記事になったのか、これからなのかは不明ですが、やり取りのすべてが掲載されるとは限りませんから、これを機会に質問の一部と私の回答を以下にご紹介します。長年、企業の経営とは無縁の立場でやってきたせいか、「経営者」というよりは「セキュリティの専門家」色の強い意見となっています （そもそも経営を語れるほどの知識も持ち合わせていません）。

1. ここ数年と比較して、2014年に入ってCSOの職務内容に変化は見られますか。もし変化があるとすれば、背景にはどのような要因やトレンドがあると思いますか。


2. Cレベル（経営レベル）のセキュリティ担当者といえば、少し前まではセキュリティの熟練者が就任するものでしたが、最近はこうした風潮が薄れています。その一因となったのが、経営者側のセキュリティに対する認識の変化です。セキュリティのベストプラクティスの実施と余裕のあるビジネスプロセスを両立させるには、技術的なセキュリティ対策とビジネスプロセスやインフラのどちらにも精通した人物が指揮を執るべきだと考えられるようになっているのです。このような変化の背景には、組織が準拠する必要のある基準や法令が多岐にわたり、システムのセキュリティや管理に多種多様なスキルが求められるようになったことがまず挙げられます。プライバシーに関する問題をはじめ、犯罪者と国家の活動の境界線がますます曖昧になっており、昨年あたりから事態はさらに混迷の度を深めています。長きにわたり曖昧にされてきたツケが組織に回ってきた、と言った方が正確でしょう。


3. CISOの役割は明確に認識されているでしょうか。この役職を導入する企業は今後増えていくでしょうか。理由もお答えください。また、その職務にはどのような内容が含まれるでしょうか。


4. CISOとCSOを区別する主な理由は、後者がデジタルセキュリティだけでなく物理的セキュリティに対しても責任を負うことを明確に示すためであると考えます。実際の肩書きに関係なく、物理的セキュリティとデジタルセキュリティの区分けが曖昧なままであれば、あらゆるタイプのセキュリティを1人の人間に一任するのは合理的であるように思えます。一部の組織では、情報セキュリティの分野専任の特殊スキルを備えた人物がCISOとして確保されていますが、IT環境が概して複雑であることを考慮すると賢明な措置といえます。こうしたスキルは、技術的な能力とは限らず、経営ノウハウを指す場合もあり、CSO（または同等の役職）の協業パートナーとなるか報告担当者となるかは、おそらく個人や組織によって異なるでしょう。その職務については画一的なものと考えるのではなく、組織のニーズに応じて柔軟に定めるべきだと思います。


5. 物理的セキュリティとデジタルセキュリティは、一組織の傘下で統合されるべきでしょうか。それとも別々に扱うべきでしょうか。


6. 物理的セキュリティとデジタルセキュリティを完全に分離するのは現実的ではありません。国際情報システムズセキュリティ認証コンソーシアムの代理人を気取るわけではありませんが、同団体が認定を行っているCISSP（情報システムのセキュリティ専門家認定）において、資格取得のために知識と経験の証明が求められる主要分野の1つとして、物理的セキュリティが何年にもわたり指定されているのは事実です。こうした認定資格は、Cレベルのセキュリティ担当者として相応しいか、候補者の適性を評価する際の基準の1つとして幅広く使用されると見られます。CISSPは技術者側よりも経営層側に傾倒しており、深い知識よりも広い見識が求められます。Cレベルの役員の場合はその方が良いと多くの人が考えるでしょう。


7. 経営幹部との関係という点から見て、CSOの役割はどのように変化しているでしょうか。


8. セキュリティの実装はなかなか議題に上がりません。しかし、ここ最近は、役員会のような場でCSOが自社のセキュリティの「ビジョン」を主張する光景も珍しくなくなりました。経営幹部は、技術者と経営者の両サイドの視点をCSOに持たせることで任務を適切に果たすための十分な情報が取得できるように計らうと共に、役員会レベルでの発言権および発言力を与えることも重要となります。


9. 企業は未来のCSOにどのようなスキルや資質を求めるでしょうか。社会人になったばかり、あるいはもっと若い次世代の人たちは、その役職に見合った能力を備えていくと思いますか。スキルの幅は広がっていくでしょうか。それとも狭まっていくでしょうか。


10. *Spafford氏が提唱した「セキュリティ管理の原則」の1つ目は、「セキュリティに対する責務を担っているにもかかわらず、ルール設定や違反者の公開を行う権限がない場合、組織におけるその人物の役割は、何か大きなトラブルが発生した場合に責任を取ることにある」というのものですが、これはCSOレベルでも当てはまります。
    
    大規模組織では、CSOが直々にセキュリティ管理に手を下す可能性は低いのですが、その一方で有効とはいえ高額な負担となる場合が多いセキュリティ戦略の実現に向けて、他の役員を納得させられる議論能力が必要とされます。そのため、若者たちが幹部へと駆け上がっていく中で、視野は広がっていくと言えるでしょう。ですから、把握しておく必要がある問題の幅も広がります。監督する部下のスキルの範囲も同様です。
    
    *Eugene Spafford教授、CERIAS（情報アシュアランスおよびセキュリティ研究教育センター）/パデュー大学


11. 多数の従業員や外部のパートナー、顧客を抱える大規模企業において、CSOはどのようなセキュリティエバンジェリスト（セキュリティの啓発活動を任務とする職）であるべきでしょうか。


12. たとえセキュリティ対策に問題があったとしても最終的な成否は利用者自身にかかっていることを認識させるなど、Cレベルの役員には、組織内外におけるセキュリティ啓発への関与がある程度求められます。しかし、「セキュリティ」という名の付く肩書きを持つ人物であれば、教育活動や基準やポリシーの策定、周知を通じて関係者の意識を向上させる必要性についても十分に認識しておいてほしいところです。

ESETが開発した先進のマルウェアレポーティング/追跡システム「Live Grid」によると、2014年5月度のランキングは、「Win32/Bundpil」が第1位という結果になりました。このマルウェアは、検出された脅威全体のうち2.99%を占めています。