セキュリティは投資ではないというご主張もあるようですね。 その根拠は存じませんが、その考えを掘り下げると、セキュリティを単体の部品で考え、局所的なROÍとして考えると、コストだという主張に繋がっているのかもしれません。 理由の如何に関わらず、ご主張は否定はしませんし、尊重いたします。 ただ、そうすると、セキュリティバイデザインやリスクベースアプローチなどから離れ、システムを俯瞰せずにセキュリティをみる可能性を危惧します。 その結果、システムの危殆化に至ることが懸念されます。 「セキュリティは投資」を提唱し続けている理由の一つは、セキュリティを局所的なROIでとらえず、個々の部品でもなく、全体を俯瞰していただきたいとの考えているためです。