情報セキュリティにおけるSSE-CMMとは？プロセス参照モデルの概要と活用のポイント

SSE-CMM（Systems Security Engineering-Capability Maturity Model：システムセキュリティエンジニアリング能力成熟度モデル）は、プロセス参照モデルとして位置づけられるフレームワークです。情報を扱う単一のシステム、あるいは相互に接続された一連のシステムにおいて、セキュリティを実現するための要件に焦点を当てています。

SSE-CMMは、組織内でセキュリティエンジニアリングを実施するための汎用的な枠組みであり、可能であれば製造分野向けのCMM（Capability Maturity Model）などと併用して活用することが推奨されています。

SSE-CMMの基本的な考え方

SSE-CMMは、各プロセスに含まれる目標と活動、そしてそれらの活動を実施することで得られる成果やプロセスの成熟度を定義しています。ただし、採用すべき特定の方法論や手順を強制するガイドラインではありません。その真の価値は、組織が既に保有しているプロセスと、モデルに規定されたプロセスを統合できる点にあります。

また、組織ごとの目的や目標によって事情が異なるため、SSE-CMM内のすべてのプロセスがあらゆる状況に適用できるわけではありません。このため、組織はモデル内の複数のプラクティス間の関係性を慎重に分析し、自社のニーズに応じて適用範囲を判断する必要があります。

ドメインとケイパビリティという2つの次元

SSE-CMMモデルは、「ドメイン」と「ケイパビリティ」という、互いに関連しながらも性質の異なる2つの領域に分割されています。それぞれの領域に対して、固有のプロセス領域と活動が定義されています。

ドメインに関わるプラクティスはセキュリティ分野に特化している一方、ケイパビリティに関するプラクティスはより汎用的であり、幅広い分野へ適用可能です。ケイパビリティの次元では、プロセス管理と組織能力の制度化（定着化）を示すプラクティスが定められています。

デミングの思想に基づく継続的改善

SSE-CMMは、他の多くのCMMと同様に、W・エドワーズ・デミングの業績を基盤として構築されており、プロセスの定義と改善を中核的な価値としています。

SSE-CMMでは、セキュリティ上の欠陥やインシデントが発生した際に、関連するプロセスの不備を特定し、それを是正することで問題全体を解消することを目指します。プロセスを継続的に改善することで、予測可能な成果を生む安定したプロセスを実現でき、さらにそれらのプロセスを取り巻く統制（コントロール）を明確に定義することが求められます。

SSE-CMMが適している組織とは

SSE-CMMは、エンジニアリング指向の組織へ組み込むことを想定した、精巧かつ十分に検証されたアーキテクチャです。製品開発といったエンジニアリング活動を行っている組織であれば、他のCMMと組み合わせる形でSSE-CMMを導入することにより、大きな価値が期待できるでしょう。

一方で、エンジニアリング機能を持たないサービス型の組織にとって、SSE-CMMは必ずしも最適な選択肢とは言えません。情報セキュリティを全体的かつ体系的に管理するという重要な示唆を含んでいるものの、エンジニアリングの文脈がない環境でこれらを実践するのは容易ではありません。

CMMアプローチの根底にある哲学

CMMアプローチは極めて合理的である一方、米国のビジネス文化には馴染みの薄い側面を持っています。このアプローチは、まずプロセスの統計分析から出発し、そこで得られた統計データをもとにプロセス内部の欠陥を特定していきます。最終的な目的は、プロセスへの深い洞察を獲得するとともに、継続的な品質改善の文化と環境を組織内に育成することにあります。