情報セキュリティー対策の「トリアージ」を考えるセキュリティー-西本逸郎のセキュリティー表ウラ:IT-PLUS

　「トリアージ（Triage）」とは、大規模災害などが発生して被害者全員に最高の医療を提供できない場合、より多くの人命を救うために重症度と緊急性で患者を評価し、限られた資源を割り当て最大限の効果を出していく手続きを指す。フランス語の「選別」という言葉が語源らしいが、トリアージの考え方は情報セキュリティーにも当てはまる。

　「ウィキペディア（Wikipedia）」の解説によると、トリアージでは患者を判定基準により以下の４つに分類して、４色のタグでその状態を表すそうだ。「黒」は既に死亡しているか救命が不可能な患者で、「赤」は即治療すれば救命の可能性のある重症患者、「黄」は早期に治療すれば救命できる重症患者、「緑」は命に別状のない軽症患者になる。

■経営資源は限られている

　トリアージの狙いは限られた資源でできるだけ多くの人命を救うことだが、もう１つ見逃せないのは、実際に現場で治療を行う医師など個人の責任問題にしないという前提がある点だ。つまり、決められた手順で判断することで組織としての合意形成が図れるとともに、本人の人道的な葛藤への手助けにもなる。

　重要なのは、今手を打たなければ助けることができない人（赤）をまず決定し、もはや打つ手がない人（黒）も決定する。次になるべく早く手を打たなければ助からない人（黄）を決める。そして、それ以外に分類される人（緑）が一番治療を要求してくると考えられるが、惑わされず粛々と治療を進めなければならない。

　人の命と同一には語れないが、多くの要求に応えることが必須である個人情報保護やセキュリティー対策でも、経営資源をあり余るほど投入できるわけではない。限られたなかで最大限の効果を出していく必要があり、このトリアージの考え方は応用できる。

　お叱りを覚悟で言わせていただくと、一般的な組織は、例えば個人情報を保護したり万全のセキュリティー体制を構築したりするために存在しているわけではない。事業を推進し利益を上げるのが目的である。

　そのためには必要となる個人情報を適切に保護できる適切なセキュリティー対策が必要であるが、万全の策を取ること自体が逆に経営的なリスクになってしまうかもしれないし、セキュリティーに対して十分な資源を投入できないこともあり得る。だからこそ、常に選別、トリアージが必要なのだ。

■サイトが１週間停止したらどうなるか

　トリアージが最もよく当てはまるのは、恐らく事件発生時だろう。事件の重要度と緊急性を適切に捉え、限られた資源を投入していく必要に迫られる。そのとき、一番重要な資源は時間である。だから、何かあった場合のビジネスインパクトを普段から意識していなければならない。

　例えば、ＥＣサイトの運営会社から個人情報が流出していると外部から通報があり、調査した結果、事実と確認された場合、通常は被害拡大を防止するためにサイトを停止する。いわば心肺停止状態（私は「ＥＲフェーズ」と呼んでいる）に陥るわけだが、どの程度我慢できるか考えてみたことはあるだろうか。また、再開に向けてどんなことをどの程度の時間軸で実施しなければならないのか、想像してみてほしい。

　恐らく経営者や事業責任者は「１時間でも困る」と考えるかもしれない。対策に当たる余力などないと思考停止に陥るかもしれない。一般に情報流出が起きた場合、普段から何も考えていなければ１時間や２時間程度で再開できることはまずない。

　では１週間はどうだろう。１週間の事業停止は単純計算で約２％の年間売上高減に相当する。その後の展開も考えると限界に近い期間だと思う。つまり、停止状態がそれ以上続くと、単にその間の売り上げダウン（入金がない）だけではなく、利用者や取引先の離散（顧客喪失）も発生し、資金繰りが悪化し事業として継続できない手遅れ状態に陥る危険性が極めて高くなるのだ。

　そのため、限られた時間のなかでＥＲフェーズからの回復を図らなければならない。一般的に事件発生時には、被害拡大の防止、関係機関への連絡、被害範囲の特定、被害者への告知（第一報）、原因究明、再発防止策の策定と実施、安全性確認を実施し、サイト再開を行うことになるが、それでは時間的に間に合わないことが大半だ。

■事業が「黒」状態がどうかをまず判断

　そこで、少なくともＥＲフェーズから脱出することが最優先となる。その際に実施できる有効な対策は、発生している脅威に対する防御よりも、脅威の排除であることが多い。例えば、脅威が個人情報の流出だった場合、安全に管理する策を講じるのではなく、手持ちの個人情報を全て削除（別の安全な場所に移管）し、別な手段で注文だけは受け付けられるようにする。これにより、ＥＲフェーズからの脱却を図るのだ。

　それには、どういう状況に陥っているのかをできるだけ速やかに客観的に判断することが重要となる。つまり、前述の黒・赤・黄・緑のどれに当てはまるのかを判断することになる。また、再開までどの程度の時間と費用がかかるのかも見積もらなければならない。　その見積もりと現状の手持ち資金（過去の稼ぎ）、再開後の収入の見通しを考慮すると、まず黒かそれ以外かが分かる。ビジネスの収益性が悪い場合は、ＥＲフェーズからの脱却そのものが不可能なケースも十分に考えられる。黒ではないと分かれば、次にどの色かを判断することになる。

　赤に分類される状態は、ＥＲ対応が必要な事態と定義することができる。つまり、サイトを止めて（企業活動を停止し）、蘇生に全勢力を傾ける必要がある状態だ。医療に例えると集中治療室での対応となる。どうすれば蘇生できるのかは事業により全く異なる。普段から蘇生のために「捨ててもよい」ものが選択できていると、短時間での脱却が可能となる。

　ＥＲフェーズにおいて、捨てるものを決断できずに欲張りすぎると、結果的に致命傷となってしまう危険性も高い。したがって、この緊急事態においては無条件に経営トップが即断できる体制が重要だ。

更新：2008年11月13日 10:04セキュリティー：連載・コラム

西本逸郎のセキュリティー表ウラ

情報セキュリティー対策の「トリアージ」を考える

● 関連記事

● 関連リンク

● 記事一覧