http://www.atmarkit.co.jp/im/cop/serial/secgov/02/01.html
情報セキュリティガバナンスも他のガバナンスと考え方は一緒。
- 何のためにやるのか
- なにをやるのか
- どこまでやるのか
- そのためのリソース配分(お金とか、組織とか)をどうするか
ここまでをまず決めて、後は PDCA サイクル。
- 計画を立てる
- 実施する
- 監査する
- 広報して是正してサイクルを回す
と、ここまでは単純。
でも実際に運用するのは結構大変。
ちゃんと回すためには、このコラムで言うところの、
- 設計力
- 実装力
- 運用力
- 管理力
- 表現力
は絶対に必要。
どれが欠けても駄目。
欠けてるものはたいていはお金で解決可能。
でも、経営的にお金をかけない、と言われちゃうと、
本当に何もできなくなっちゃうんだよね。
情報システムにはお金が必要なんですよ、
だから予算化しましょう、
もしくは情報システムを持たないようにしましょう、
と、そういう啓蒙は誰がやれば良いのかしらねえ。
ベンダーがやるとなんかイヤらしいので、
日経にもっともっと頑張ってもらう、かなあ。
でもそれもなんかイヤらしいよなあ。