NRIセキュア、情報セキュリティ業務の全体最適化を支援する「セキュリティ業務改革支援サービス」を提供開始業務上の「漏れ」「偏り」「無駄」の可視化と人材不足の解消で、セキュリティレベルの維持・向上を目指す

NRIセキュアテクノロジーズ株式会社（以下「NRIセキュア」）は、企業における情報セキュリティ業務で生じている、「漏れ」「偏り」「無駄」を定量的・定性的に評価し、改善すべき点の導出や、対応方針の提案までを行う「セキュリティ業務改革支援サービス（以下「本サービス」）」を、本日から提供します。

 セキュリティ業務の負荷増大の背景と人材不足解消の必要性

業務のデジタル化が進む一方、サイバー攻撃も巧妙化しています。それに伴い、システムの停止や情報漏洩をはじめとしたセキュリティインシデント（事故・事案）によって、業務が滞ったり、企業のブランドイメージや信頼が損なわれたりするリスクも増大しています。

そのような事態に陥らないよう、各企業では新たなセキュリティ対策を推進していますが、その実行に係る業務は日々増える一方であり、約9割の日本企業がセキュリティ人材の不足を感じています^[i]。人材が不足している状況下で、セキュリティ業務に「漏れ」「偏り」「無駄」が存在することは、サイバー攻撃等による被害発生の可能性が高まる以外に、従業員のモチベーション低下等、労務面にも悪影響を及ぼす可能性があります。

NRIセキュアは、企業におけるセキュリティ業務の「漏れ」「偏り」「無駄」を解消するため、本サービスを開発しました。

セキュリティ業務改革支援サービスの概要と特長

本サービスでは、まず現行のシステムやセキュリティ業務に関するアンケート調査と、担当者へのヒアリングを行います。収集した情報をもとに、NRIセキュアのコンサルタントが以下の３つの観点で分析し、3線モデル^[ii]等の考え方を活用した「可視化レポート」を用いて報告します（図を参照）。

• 「漏れ」：本来実施すべきセキュリティ業務に、抜け漏れが存在していないか
• 「偏り」：特定の領域やチームに業務が偏ることで、人材不足・余剰が生じていないか
• 「無駄」：セキュリティ業務を無駄なく、効率的に実施できているか

図：セキュリティ業務を評価した「可視化レポート」のイメージ

「漏れ」によるセキュリティリスクや、「無駄」の削減で新たに得られる想定工数等を一覧化し、セキュリティ業務に携わる人数と業務量のバランスを定量的に評価することで、人材が不足している領域を明らかにします。

 さらに、業務の「偏り」に対しては、内製化すべき業務とアウトソースが望ましい業務とに分類するとともに、本サービスを導入する企業の業界や業務特性を考慮しつつ、目指すべきセキュリティ業務の全体像を提案します。また、オプションサービスとして、セキュリティ業務を実施する上で必要なスキルセットを整理し、業務に従事する担当者の人材育成計画を作成することも可能です。

本サービスの主な特長は、以下の2点です。

１．定量・定性評価に基づいて、全体最適なセキュリティ業務改革に寄与

情報セキュリティ業務に精通したコンサルタントが、導入企業のセキュリティ業務に対して想定される工数を試算し、現在の工数がその想定を超過していないかを定量的に評価します。さらに、担当者のセキュリティに関する業務経験や資格情報等を参考に、効率的かつ効果的に業務を実施できているかの分析も行います。

これらの分析結果を用いて、改善すべき業務やあるべき人材戦略を明確化することで、全体最適なセキュリティ業務改革や組織改革につなげることができます。

２．各種ガイドラインに照らし、不足しているセキュリティ業務も浮き彫りに

本サービスで用いるアンケートは、NICE Cybersecurity Workforce Framework（SP800-181）^[iii]やSecBok（情報セキュリティ知識項目）^[iv]等、国内外の情報セキュリティに関するガイドラインやフレームワーク、各業種固有のセキュリティ対策の最新状況を踏まえてNRIセキュアが独自に開発したものです。あらゆる観点からセキュリティ業務の実態を把握できるだけでなく、自社のセキュリティレベルを社外のセキュリティ水準と照らし合わせて、実行できていない業務がないかどうかを確認し、不足部分を補完するための施策を提案することが可能です。

本サービスの詳細については、以下のWebサイトをご参照ください。

https://www.nri-secure.co.jp/service/consulting/security-operations-innovation

NRIセキュアは今後も、企業・組織の情報セキュリティ対策を支援するさまざまな製品・サービスを提供し、グローバルな規模で安全・安心な情報システム環境と社会の実現に貢献していきます。

[i] 出所：NRIセキュアテクノロジーズ株式会社「企業における情報セキュリティ実態調査2021（NRI Secure Insight）」、2022年2月8日発表（https://www.nri-secure.co.jp/news/2022/0208）

[ii] 3線モデル：リスクマネジメントにおける考え方であり、組織のリスクコントロールを十分に機能させるために、現場部門・管理部門・監査部門などを３つに分け、役割に応じた活動を実施することで、最適な活動を行うことができるというものです。

[iii]NICE Cybersecurity Workforce Framework（SP800-181）：米国立標準技術研究所（NIST）が策定した、個人とチームが行うサイバーセキュリティ業務を遂行するために必要なタスク、知識、スキル等をまとめたフレームワークです。

[iv] SecBok（情報セキュリティ知識項目）：特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）が作成する、セキュリティ人材に必要な知識項目郡をまとめたものです。詳細はJNSAのWebサイトをご参照ください。https://www.jnsa.org/result/skillmap/