薫は次のように述べています。「日本のセキュリティ部門は、今までネットワーク・セキュリティやマルウェア対策などのインフラ・セキュリティに重きを置く傾向にありました。情報漏洩対策については、これまで積極的に実行してこなかったと認識しているセキュリティ・リーダーも多く、実際に、Gartnerの調査でも過半数が積極的に対策を取ってこなかった点について反省していると回答しています。企業がデータ活用をセキュアなものにし、競争力のある未来を目指すには、次の6つの要素を押さえた情報漏洩対策の推進が重要です。企業にはデータ・セキュリティについての実務経験者がいないなど、セキュリティの知見がサイバーセキュリティに偏っているような現状が見られます。セキュリティの範囲は広いため、サイバーセキュリティに詳しい担当者が必ずしもデータ・セキュリティに明るいわけではないという点を認識する必要があります。実務経験者が少ない企業では、リアリティのある運用をイメージするのが難しい場合があります。新しい時代の情報漏洩対策の知見を得るために、公開事例に頼らず先進的な取り組みを行っている企業に自らインタビューを実施するなど、新しい情報収集方法の実践が重要となります。(コンセプト)企業はセキュリティの境界を定め、ユーザーは境界中では自由にデータにアクセスし分析できました。これでは情報を外へは持ち出せず、クラウドの利用や外部との共有が思うようにできず、企業が目指すデジタル時代の姿と大きく乖離してしまうことになります。境界型セキュリティ、つまりデータの保護をネットワークやシステムといった大きな単位で行うのではなく、ユーザー、データの種類、ユーザーの作業範囲などの小さな単位で暗号化や権限付与を行うことが求められています。「境界を作って自由にアクセス」できる環境から、アクセスできる人ならびに操作できる内容を限定する「情報漏洩対策に向け過剰なアクセス権の付与をなくす」ことへ、セキュリティのフィロソフィを大転換することが重要であり、さらにこれを、従業員が生成AIなどを本格利用する前に大々的に周知することが重要です。情報が漏洩して困るのは、企業の経営陣だけではありません。ユーザー部門も取引先や顧客の情報には責任を持っており、何かあった場合にはそれを伝える説明責任があります。境界型セキュリティの時代に企業のセキュリティがインフラ・セキュリティに大きく依存していたことなどから、情報漏洩の責任は経営あるいはIT/セキュリティ部門であると誤解しているユーザーが多く存在します。セキュリティ部門は、ルール制定やテクノロジの評価に責任を持つものの、ビジネス上必要なデータを使う上でデータ保護/アクセス管理を行い、情報が漏洩しないようにする責任はユーザー部門にもあることを、今一度周知しておく必要があります。4:データ・マップの作成データの生成場所/保存場所ならびに所有者、そしてそのデータの重要度と使用者を示すデータ・マップを作成することが重要です。データ・マップを作成する際は、どのデータがそのビジネスにとって重要なのか、そのユーザーはそのデータを本当に扱う必要があるのかなど、さまざまな観点を踏まえて作成する必要があります。矢野は次のように述べています。「法規制による定義等で客観的判断が可能なものについては、機械による検出も可能ですが、ビジネス的に重要かどうかの判断はビジネス的な主観が求められるため、ユーザーによる精査が必要です。このようにして作られるデータ・マップは情報の生成や変更、そして廃棄に至る一連の『ライフサイクル』に合わせてタイムリーに更新することが重要です」5:テクノロジの評価と活用データ保護に際しては、データの分類/検出、データ暗号、ファイル保護、権限管理などさまざまな種類のテクノロジが用いられることになります。これらは決して新しいものではありません。これまでにもあるものです。「どんな保護テクノロジがあるのか」という議論は収束しつつあり、現在は「どのように実装するか」といった点に検討の重心が移動しつつあります。テクノロジを評価する際は、機能面の評価だけでなく、「ユーザーにとって使いやすいものなのか」という運用面の評価にも十分な時間を費やすことが重要です。リスクの変動を分析できるようなものが検討できるようになっていますが、過度に依存しすぎず冷静に評価する必要があります。関するルールは、データ分析に用いるツールや取り扱うデータの種類によってさまざまです。ユーザーのほうもそうした状況に応じて適切なルールを適用しなければなりませんが、セキュリティのリテラシーは一定ではなく、高い人もいれば低い人もいます。戦略的な業務や重要データを扱うケースについては、ユーザーのルール遵守の促進のために、セキュリティ部門のほうでユーザーのデータの使い方を積極的に理解し、セキュリティのマニュアルにこれまで以上にリアリティを持たせることが肝要です。日本のITエグゼクティブ向けのニュースや最新情報は、GartnerのXやFacebookでも案内しています。最新のプレスリリースや記事、ウェビナー情報については、ニュースルームよりご参照ください。日本で提供しているサービスについては、こちらよりご参照ください。Symposium/Xpoでは、「今日をリードし、明日を形作る」をテーマに、テクノロジ・イノベーション、経営幹部のリーダーシップ、ビジネス戦略の3つのトラックからなるプログラムをご用意しています。主要な17のトピック領域における最新のテクノロジ、戦略、そしてリーダーシップに関する知見を提供し、CIOとリーダーシップ・チームにとっての最重要課題を取り上げます。(#GartnerSYM)。お客様のミッション・クリティカルな課題について、より優れた意思決定と大きな成果へと導く実行可能かつ客観的な知見を提供します。詳細については下記Webサイトでご覧いただけます。