グローバル企業においてセキュリティ対策を推進する際の課題と留意点

こんにちは。はなくとです。
今回は、グローバル企業においてどのようにセキュリティ対策を推進していけばいいのか思うところを書いてみます。

まず最初にグローバル企業にはどのような課題があるのか考えてみます。また、ここで言うグローバル企業とは、国内外に拠点を持つ企業のことを指します。
課題を考えるにあたり、

①日本国内のみに拠点がある場合
②海外にも拠点がある場合

に着目して課題を考えてみます。

まず最初に思いつくのは、物理的な「場所（国）」の違いが挙げられます。
そして「場所（国）」の違いに伴い、そこに住む人（民族、文化）の違いや、そこで施行されている「法規制」が違います。

これらの違いによってどのような課題があるのか考えてみます。

前述した「場所（国）」の違い、「人（民族、文化）」の違い、「法規制」の違いに起因する課題を下記の表に整理しました。

項番	違い	課題
1	場所の違い	複数の海外拠点で保有する情報資産の把握。
2	場所の違い	複数の海外拠点のセキュリティ対策実施状況の管理。
3	人の違い	文化、宗教等の考え方の違いを考慮したセキュリティ対策の導入。例）労働者の高い流動性、モラル、企業への帰属意識の違い等
4	法規制の違い	セキュリティ関連の法規制に対する正確な解釈。
5	法規制の違い	セキュリティ関連の法規制に対する正確な解釈の全海外拠点での共有。翻訳時のニュアンスの違いを乗り越える。

項番1～２は、どこにどのような情報資産があるのか？そしてそれを保護するためにどのようなセキュリティ対策が施されているのか？の把握であり、情報資産自体に着目しています。

項番3～5は、その場所ではどのような考え方を持つ従業員がいるのか？どのようなセキュリティ関連の法規制のもとでビジネスを実施しているのか？の把握であり、情報資産を取り巻く環境に着目しています。

項番1～5の課題によって、最低限守るべきセキュリティ対策のベースラインの策定が困難になり、セキュリティ対策が遅れている海外拠点からマルウェアの感染が拡大する、といったリスクが発生します。

下記の例を用いて説明します。

①外部デバイス制御を未導入の海外拠点Aにおいて、USBメモリから未知のマルウェアが侵入

②海外拠点B、Cでは外部デバイス制御を導入済だが、未知のマルウェアのため検知できない

大事なことは、海外拠点Aにおいて外部デバイス制御を未導入であったがために、未知のマルウェアの感染が海外拠点B,Cに拡大した、ということです。このようにセキュリティレベルの低いところから、インシデントが発生し拡大していきます。

前述した課題を踏まえ、グローバル企業がどのようにセキュリティ対策を推進していけばよいのか、留意点を「場所（国）」の違い、人（民族、文化）の違い、「法規制」の違い毎に整理しました。

項番	違い	留意点
1	場所の違い	各海外拠点の課題や状況をまとめるためのPMOを設置し、共通の課題や共有事項を一元管理する。
2	場所の違い	協力的な海外拠点にセキュリティ対策を先行導入し、導入・運用時の課題を洗い出しておく。
3	人の違い	海外拠点の予算や運用負担を考慮したセキュリティ対策を検討する。スムーズに受入れられるよう密にコミュニケーションをとる。
4		海外拠点毎に異なるセキュリティ対策（セキュリティポリシー含）を適用すると「差別」捉えられる可能性がある。
5		誤解を防止するため、会議の議事録や取り決めは文書化し、内容について合意しておく。
6	法規制の違い	法律の専門家を交え、サイバーセキュリティ関連の法規制を正確に解釈する。
7	法規制の違い	翻訳時のニュアンスの違いをできるだけ避けるため、各海外拠点の現地語に翻訳できない単語の利用を避ける。難解な表現を避ける。