営利優先のコンサルが横行

　情報セキュリティ特需を背景に、IT企業の〝いい加減なセキュリティコンサルティング〟の台頭が、セキュリティビジネスで問題となっている。

　IT業界の今年の流行語といえば「情報漏えい」と「個人情報保護」。大手企業からの顧客情報流出が相次ぎ、さらに来年4月1日施行の個人情報保護法への対応の必要性から、ユーザーはIT投資のなかでもセキュリティを重視している。

　富士通ビー・エス・シー（富士通BSC）は、情報漏えい対策を中心においたセキュリティソフトを5年程前から販売しているが、「〝個人情報保護〟、〝情報漏えい対策〟という言葉を謳い文句にしたら、セミナー参加希望者数は膨れ上がった。数年前では考えられない状況」と、予想以上の盛況ぶりに戸惑いすら見せる。

　景気低迷によるIT投資の抑制からようやく脱したのに、過当競争によるシステム構築案件の利益率低下をはじめ不安定要素が消えない。そこにセキュリティ分野の活況はまぶしく映る。情報漏えいを防ぐには、これまで主流であった外部アタック防止だけでは不十分であり、提案できる範囲が広がっていることもビジネスチャンスになっている。IT企業の多くがこの需要をつかもうと、セキュリティビジネスの強化を共通の施策としている。

　だが、皮肉にもこの需要の強さが、ユーザー企業に成果をもたらさないコンサルサービスを強要している。

　企業が個人情報保護を遵守し、情報漏えいを防ぐためには、ITシステムの構築だけでなく、社員教育なども徹底して施さなければならない。そのためのコンサルティングを必要としている企業は極めて多い。

　あるセキュリティベンダーでは、セキュリティのコンサルサービスについて、「案件数に対してセキュリティコンサルタントの絶対数が少ない。そのため、案件をさばききれていないだろう」という。ニーズが高まっていることに乗っかり、そのスキルが十分でなくてもセキュリティコンサルサービスを始める企業が増えている。

　これが品質の低下を招いている。「セキュリティコンサルタントには、システム開発スキルに加えて、ネットワーク構築技術、コミュニケーション能力など、幅広いスキルが求められている。そのカバーする範囲は多岐にわたる」（中堅システムインテグレータのセキュリティコンサルタント）にも関わらず、「即席のセキュリティコンサルタントが、コンサルを手がけているITベンダーもある」（同）と指摘する。

　当然、儲けしか見ていないために、「不必要なセキュリティ投資を促したり、コンサルを受けた後でもユーザー企業の体制に変化がない」場合もあるなど、全くユーザーのセキュリティ対策の向上に役立っていない。

　コンサルサービスは、目に見える商品でもなく、サービス提供後の結果も不透明で、ユーザー次第の部分もある。もともとセキュリティに疎い日本企業には、セキュリティ対策に精通した人材は少なく、即席コンサルタントでもしたり顔で入り込みやすい分野のようだ。

　目先の特需に振り回されて、後々評判を落とすよりも、当たり前のことだが、しっかりスキルを身につけた上でのセキュリティコンサルサービスが求められている。

　もちろんユーザー企業も責任なしとは言えない。「何を、どの範囲まで、いつまでに」というセキュリティ対策の基本方針を定めたうえで、コンサルを入れなければならない。つけ込む隙を与えない、情報セキュリティの基本ではないか。(木村剛士●取材／文)