はじめに
本書『Information Assurance and Risk Management Strategies: Manage Your Information Systems and Tools in the Cloud』（著：ブラッドリー・ファウラー、Apress刊）は、フォーチュン500企業であるバークシャー・ハサウェイをケーススタディの軸に据え、情報保証・リスク管理・コンプライアンスを一気通貫で解説した実践的な一冊です。
全6章構成で、情報保証の基礎分析からITポリシーの運用管理まで、組織の情報システムをクラウド環境で安全に守るための考え方とフレームワークが網羅されています。法律・規制対応、ベンダー管理、EA（エンタープライズアーキテクチャ）戦略まで幅広くカバーしており、エンジニアからセキュリティ担当者まで幅広い読者に有用な内容です。
第1章：情報保証分析
情報保証（IA）とは、情報資産の機密性・完全性・可用性を確保するための包括的な実践です。本章では、IUP（情報利用プロファイル）という概念を中心に、組織が保有する情報資産を可視化するアプローチが解説されています。
IUPは、以下のカテゴリを含む一覧表として定義されます。
- 顧客記録・従業員記録・ベンダー記録
- 商標・特許などの知的財産
- ソフトウェア資産・ハードウェア資産・クラウド資産
- 物理セキュリティ資産
各資産に対して、「機密性のレベル」「使用・処理方法」「保存に使用するIT資産」を明示することで、セキュリティ施策の優先順位が明確になります。
また、バークシャー・ハサウェイのように6,000社超の子会社を持つ企業が、SEC提出の10-K年次報告書を通じてサイバー脅威を公開していることは、逆にサイバー攻撃者への情報提供になりうるという視点は印象的です。LAN/WAN/WLAN経由の侵入リスク、ファックス機・プリンターのアクセスポイント化など、一見地味な機器も攻撃の入口になりうると本書は繰り返し強調します。
リスク要因表（Risk Factor Table）を作成し、各リスクに対して影響レベル（壊滅的・高・中・低）を定義することが、第一歩として推奨されています。
第2章：情報リスク管理と分析戦略
本章では、NIST SP 800-53（改訂5版）をベースに、リスク軽減戦略の具体的な設計手順が説明されます。
提示される4つの主要テーブルは次のとおりです。
- リスク要因テーブル：ランサムウェア・人為的ミス・技術の陳腐化など、各リスクIDと影響レベルを整理
- リスク軽減戦略 × セキュリティ管理プロファイル：NISTのCSFカテゴリ（PR.AC、DE.AE等）と対応付け
- 情報機密性リスクプロファイル：情報カテゴリごとの機密性レベルと保存・処理方法を明示
- セキュリティプロファイルリスク：高〜低のリスクレベルをカラーチャートで俯瞰
特筆すべきは、NIST SP 800-53の適用が「技術的対策」だけでなく、「意識向上トレーニング（PR.AT）」「コミュニケーション（RS.CO）」「復旧計画（RC.RP）」など、組織運営全体に及んでいる点です。
セキュリティリスクを経営陣・ステークホルダーに伝えるには、定性的な説明だけでなく、このような構造化されたプロファイルが有効であると本書は主張しています。
第3章：ポリシーコンプライアンス戦略
バークシャー・ハサウェイに影響する10のプライバシーリスク（コンピュータウイルス・不正アクセス・フィッシング・DoS攻撃・評判の失墜など）を取り上げ、それぞれに対するNIST準拠のコンプライアンス管理プロファイルを設計するプロセスが解説されます。
準拠すべき主な法律・規制として以下が挙げられます。
- GDPR（一般データ保護規則）
- COPPA（児童オンラインプライバシー保護法）
- CCPA（カリフォルニア州オンラインプライバシー保護法）
- NIST SP-800-37・SP-800-53
また、脅威モデリングの概念も登場します。ダイアグラムボードを使ってシステム全体を俯瞰し、「脅威を軽減する」「脅威を排除する」「脅威を移転する」という4種のアクションに分類して対処法を設計するアプローチは、現場への適用性が高い内容です。
NIST SP-800-53 Rev.5に基づく具体的なセキュリティ管理コード（CM-1〜CM-11、AC-1〜AC-24、SI-3〜SI-6等）が多数例示されており、実装の参照先としても活用できます。
第4章：AWSクラウド侵入検知および防止
オンプレミスネットワークの脆弱性を解消する選択肢として、AWSのクラウドサービスが詳しく取り上げられます。
主に解説されるのは以下のサービスです。
| サービス | 概要 |
|---|---|
| CloudWatch Monitoring | AWSリソース・オンプレミスサーバー・アプリ全体の統合監視 |
| IAM（Identity and Access Management） | IDとアクセス権の一元管理・多要素認証の強制 |
| AWS Network Firewall | 侵入防止・Webフィルタリング（SQL/XSS対策含む） |
| AWS Shield | DDoS攻撃対策の継続監視 |
| GuardDuty | マルウェア対策スキャンと90日ログ保持 |
IDPS（侵入検知・防止システム）の種類として、シグネチャベース・異常ベース・ハイブリッドの3方式が比較され、それぞれの長所短所が整理されています。
ランサムウェア・DoS・マルウェア・中間者攻撃など主要な脅威パターンとその被害規模（2021年のランサムウェア被害額は推定200億ドル）も数値で示されており、経営層への説得材料としても使いやすい内容です。
AWSクラウドをSaaS・PaaS・IaaSに分類し、それぞれの責任分担とセキュリティ設定の要点も解説されています。
第5章：エンタープライズアーキテクチャIT戦略
本章は、テクノロジーの問題を超えた「組織論」として読むと理解が深まります。
チームマネジメントでは、セキュリティインシデントが最大70日間気付かれないケースがあること、効果的なチーム管理体制があると侵害コストを25%削減できるという調査結果が引用されています。
**破壊的技術（IoT）**については、センサーや機器のネットワーク接続を活用したサービス監視・予知保全・データ分析の可能性が論じられます。IoT導入に伴う組織文化的な摩擦には、ADKARモデル・ルーウィンモデル・キューブラー・ロスモデルといった変革管理フレームワークの活用が推奨されています。
IT価値創造チェーンでは、主要活動（インバウンド/アウトバウンドロジスティクス・運用・販売）と支援活動（人材・インフラ・技術開発）を組み合わせたポーターのバリューチェーン分析に情報技術の視点を加えた解説が登場します。
ベンダー管理では、ソフトウェアベンダーの倫理観がサイバー犯罪と直結しうるという視点が強調されており、CVEデータベースを活用したベンダー脆弱性調査の習慣化が提唱されています。
エンタープライズアーキテクチャの成果物として、TRM（テクノロジーリファレンスモデル）・SWOT分析・ビジネス能力モデルを定期的に作成・更新するサイクルが推奨されており、ITガバナンスの実践的な設計手順として参考になります。
第6章：IT戦略ポリシー
最終章では、ポリシーライフサイクルの全体像と、10種類のITポリシーテンプレートが提供されます。
**ポリシーライフサイクル（6ステップ）**は以下のとおりです。
- 議題の設定（COBITフレームワークに基づく）
- ポリシー策定（NIST SP-800-53・800-171・連邦法との整合）
- 意思決定（規範倫理・応用倫理・義務論的倫理の活用）
- ポリシーの実装（全員への配布・署名・否認防止）
- 監視と評価（四半期レビュー・CIO承認）
- ポリシーフレームワークの運用
提供されるポリシーテンプレートは次の10種類です。
- 利用規約
- アクセス制御ポリシー
- モバイルデバイス利用ポリシー
- 変更管理ポリシー
- 情報セキュリティポリシー
- リモートアクセスポリシー
- 電子メール通信とセキュリティポリシー
- データ管理ポリシー
- ドキュメントポリシー
- 災害復旧ポリシー
各テンプレートには、目的・適用範囲・責任・禁止事項・署名欄が含まれており、実際の組織展開を想定した実用的な構成です。
ポリシー遵守の追跡には「レポートカード方式」が推奨されており、セキュリティ設定スコア（1〜10）・パッチ適用率・不正変更件数などを定量化する仕組みが解説されています。
読後感・活用シーン
本書は「情報セキュリティの教科書」というよりも、「組織防衛の設計書」に近い性格を持っています。NIST SP-800シリーズや各連邦法・GDPRへの参照が豊富で、コンプライアンス対応の実務に携わるエンジニアや管理職にとっては参考資料としての価値も高いです。
バークシャー・ハサウェイという実在のフォーチュン500企業を一貫したケーススタディとして使うことで、抽象的になりがちなフレームワーク論が具体的なリスクイメージと結びついている点は評価できます。
一方で、米国法・米国規制が中心のため、日本国内での適用にはISMS（ISO/IEC 27001）やJIS Q 27001への読み替えが必要になる場面もあります。
クラウドセキュリティ・リスク管理・コンプライアンス設計を体系的に整理したい方に、一読をおすすめします。