「日本版SOX法」施行を控えている現在、情報セキュリティ業界では「内部統制」が情報漏えい対策に次ぐキーワードとして浮上している。セキュリティベンダーからは多種多様なツールが投入されており、それぞれ拡販に躍起だ。かつて「個人情報保護法」完全施行の前後、情報漏えい対策特需に沸いたセキュリティ業界。日本版SOX法の施行前後にも同様の特需が起こる可能性もある。ただ、そのツールを活用して情報システムとして納入するSIerは注意が必要だ。内部統制の実現には、ひとつのツールを導入すれば万全ということは有り得ない。内部統制を実現するためのサービスなども含めた総合提案が必要になる。特需を勝ち取る方法は何かを探る。（木村剛士●取材／文）

全体包括の提案がカギに

■顧客の業務プロセスを理解し、情報関連システムを構築する

　内部統制は、企業の財務報告書の信頼性向上と、コンプライアンス（法令遵守）体制の確立が主な目的で、昨年から注目を集め始めている。「日本版SOX法」の施行が予定されており、同法に対応するためには「内部統制」の仕組みが不可欠で、情報システムが担う役割も大きい。そのため、ITベンダーは内部統制関連ツールの重要性をアピールし、ビジネスに結びつけようと躍起だ。

　セキュリティ関連ツールの活躍の場も多い。内部統制では、業務プロセスの可視化や情報システムのモニタリング、そして動作記録（ログの収集）が求められる。そのため、ネットワーク監視ツールやログ収集・分析ソフトなどが有効的だ。先月下旬に開催された国内最大の情報セキュリティ製品・サービス展である「情報セキュリティEXPO2006」では、内部統制をうたう製品が目白押しだった。

　ただ、内部統制実現のためには取り組むべき範囲は広く、そして多岐にわたる。「このツールを入れれば万全」というソリューションはない。SIerは、顧客の業務プロセスを理解したうえで、複数のツールを活用して情報システムを構築。顧客が定めたセキュリティポリシーが計画通りに運用されているか否かをチェックすることなどが、内部統制には不可欠だ。

　かつて、個人情報保護法が成立し完全施行までの期間、情報セキュリティ業界は特需に沸いた。ウイルス対策やファイアウォールなどの外部攻撃からの防御が主流だった市場に、情報漏えい対策ソフトという新マーケットを創出。米国には個人情報保護法のような法律がないため、海外製ソフトよりも日本メーカーが市場を席巻する数少ない市場へと成長した。日本版SOX法の施行が近づけば、個人情報保護法のような特需を呼び起こす可能性も十二分にある。

■複雑な「内部統制」対策には、共同体方式で取り組む手も

　しかし、個人情報保護法特需では、「知識のない顧客にはこのツールを導入すれば大丈夫といった安易な提案でも受け入れられた」（中堅SIer）ケースもあったという。個人情報保護法対策でも、ひとつのツールですべてを解決できるわけではない。目先の利益を追い、ツールの販売だけで個人情報保護対策は万全であるといったような提案を行えば、結果的にユーザーの信頼を失う。「代理店のなかにはそんなSIerも少なくなかった」（セキュリティｚソフトメーカー）という声もある。

　内部統制は、個人情報保護法対応以上に複雑で、ユーザーは対応に苦労するはず。企業の業務プロセスの改善、そして情報システムの現状把握、ツールの導入、社員教育など複数の対策が必要になる。1社で無理な場合はそれぞれの工程で強い企業と組んで提供体制を構築する必要も出てくる。内部統制でビジネスを拡大するためには、やるべき全体像を把握したうえで総合的に提案する体制が勝負を分けることになるだろう。