V.S.A. III

こんにちは、五十嵐智です。企業の情報セキュリティの格付けが始まるようです。当初、経済産業省が行おうとしていた制度ですね。民間企業で格付けを行うようになるようです。

リンク： 企業のセキュリティレベルを格付け、富士ゼロックスら18社が査定新会社を設立 - ITmedia エンタープライズ (2008/04/08)
リンク： 松下、富士ゼロックスなど18社が情報セキュリティ格付け専門会社設立：ITpro (2008/04/08)
リンク： セキュリティ≫IT戦略/ソリューション≫NEWS Headline-松下電器、富士ゼロックスなど、世界初の情報セキュリティ格付専門会社「アイ・エス・レーティング」設立：ソフトバンク ビジネス+IT (2008/04/08)
リンク： asahi.com：富士ゼロックスら18社、企業情報セキュリティのレベルを格付する新会社 - e-ビジネス情報（提供：ＢＣＮ） - デジタル (2008/04/09)
リンク： 初の情報セキュリティ格付け専門会社、5月設立 - ITmedia News (2008/04/09)
リンク： 情報セキュリティ格付け会社が発足＜＝その範囲と尺度:独断と偏見の気になる情報セキュリティ - CNET Japan (2008/04/09)
リンク： IP NEXT ニュース / 松下など18社、情報セキュリティ格付け専門会社設立 (2008/04/09)
リンク： 各社リリース| 富士ゼロックスなど18社、世界初情報セキュリティ格付専門会社設立: IT・通信: 格付専門会社: ファスニングジャーナル (2008/04/08)
リンク： FujiSankei Business i.　産業／松下、富士ゼロなど１８社が新設　情報保護に格付け会社 (2008/04/09)

この試みは世界初だそうです。18社の資本が入るわけですが、公正な格付けが行われるといいですね。

この動きは昨年の夏から始まっていました。

リンク： 情報セキュリティを格付け、国内4社が制度研究会を設立：ITpro (2007/07/18)
リンク： 「あなたの会社はBB＋」，情報セキュリティの格付けが始まる：ITpro (2007/07/26)

評価の指標が気になるところです。

マネジメントの成熟度やセキュリティ対策の強度、コンプライアンスへの取り組みなどを定量化し、記号や数値で指標化する。
(ITmedia エンタープライズ)

新会社による情報セキュリティの格付け情報は、数値や記号で表記。業務委託などの際、委託先企業がセキュリティ対策をどの程度の水準で実施しているかを判断する材料にする。
(ITpro)

情報セキュリティ格付とは、企業など組織が取り扱う技術情報や営業機密、個人情報などのセキュリティレベルをランク付けするもので、具体的には、マネジメントの成熟度、セキュリティ対策の強度、コンプライアンスへの取り組みなどの観点から定量化し、記号や数値で指標化します。
(富士ゼロックス)

一昨年から実験と評価指標の研究を重ねてきているので、ある程度の指標はできているのだと思います。今後は、その指標の正当性と社会的認知の度合いが市場で評価されることになります。

大企業は明らかにこの格付けを意識していくに違いありません。情報セキュリティ対策が進むのは良いことです。各社から情報セキュリティ報告書がどんどん出てくるでしょう。

一方で、中小企業、零細企業も格付けの対象になるのかどうか、そこが気になります。情報セキュリティ対策を進めて、格付けが上がったときに、金融機関からの金利が下がって借り入れ易くなったり、取引先との付き合いがし易くなったりという社会的な認識が高まることを期待したいです。そうすれば、中小企業などでも情報セキュリティ対策がずいぶんと進むのではないでしょうか。売り上げに対する情報セキュリティ対策費用の割合も上がることでしょう。

今までコストとしか見られなかった情報セキュリティ対策がプロフィットにつながるというのは非常に良いことだと思います。是非とも社会的に認知されるよい格付け制度になってほしいものです。私個人としては、応援していきたいと思っています。

カテゴリ：情報セキュリティ

<< TGIF: ほしいぞ、フォンブレイバー | Main | 平成19年度総合セキュリティ対策会議報告書(警察庁) >>