情報漏洩の人的対策：その１
大日本印刷の漏洩事件は、従来あった情報漏洩の歴史を変えるだろう。
私は未だに性善説が好きである。セキュリティにおいて性悪説で考えるのも１つの考え方として有効な方法であるが、そんなに悪い人ばかりが多いのだろうか？
一部の悪い人だけで、全部が性悪説で考えるのはどうなのだろうか？
しかし現実問題として、一部であってもその一部が及ぼす影響を今回の事件で目の当たりにしたもの事実だ。
そもそも二元的な性善と性悪だけで考えるところに無理はないだろうか？
良いか悪いかの２つで考えた方が、わかりやすく見えやすいから２つの両極端な思考で考えてしまうもの。
性善と性悪の考え方なんかよりも、もっと重要なことがある。
それは如何に事故を起こさないか。起きてしまっても被害を小さく出来るかだ。
何も起きないことに越したことはない。しかし何かのトリガーで起きることは起きるものである！という考え方がとても重要なことであり、現実でもある。
では、どうすれば良いのだろうか？
経営学において有名な言葉がある。組織は戦略に従う・戦略は組織に従う。
では、戦略の部分を人に置き換えたらどうなるだろうか？
組織は人に従う？・人は組織に従う？なんかしっくりこない日本語になっている。
人は組織に従うは日本語としてはＯＫだ。組織は人に従うは、なんとも言えない日本語になっている。いずれも正しいのかどうか疑問？な部分も含んでいるように思える。
あくまでも文字遊びのような話で、日本語として変な気もするが、文字遊びだけでは済まない意味を含んでいそうだ。
よくある方法としては監視を行うことである。しかしそれも完璧ではないのだ。
勿論やらないよりも良いかもしれないが、コストパフォーマンスに見合うか疑問である。色んな方法を組み合わせれば有効になる場合もある。これもＴＰＯにあわせて条件も方法も変わってくる。
例えば、弱点になりそうなものは見せたくないもの。
エロ本に例えるのは、適切な表現ではないかもしれないが、見えないから見たくなるものは人間の本性だろう。
だったら、すべてをガラス張りにして見せて、ちゃんと考えるようにすることが有効策の１つであると私は考える。
イケナイことをしっかりと周知し、それでも危険と引き替えした場合の自分に降りかかるリスクを認識すること、させること。
必ず何かをする場合、例えばモノを買う場合でも比較をするはず。
情報漏洩において引き替えにするのは、犯す危険と報酬のバランスになる。悪意を持っている場合。
現在の法整備の問題にも影響してくるだろう。情報漏洩罪がまだ検討中だからだ。情報を盗むことの罪が今は明確に決まっていない。情報の書かれた紙を盗んだとか、データの入ったメディア媒体を盗んだとか、電気の窃盗などなど・・・中身に付いての刑事罰がない。それと引き替えに、報酬が大きいことが原因になっているのだろう。
人間がうっかりしたときや悪意を抱いてしまった時に事は発生してしまう。
なので徹底的に対策側と攻撃側の立場になり、シミュレーションを行う事である。
同じ人が対策側と攻撃側の両面を徹底的に考えることで、その組織にあった最善の策が見えてくるのである。
ほとんどの場合は、対策側だけの視点でしか見ていない。だから弱点が見えないのである。守りたい側の考え方も十分にわかるが、それだけでは効果的ではない。
本当に攻撃する訳でなく、疑似体験や避難訓練のようにシミュレーションすることで見えてくるものや得るモノは大きい。
色んな視点で見ることがもっとも有効な人的対策の１つである。
全部を知ることで、自分以外の人も対策と攻撃の両面を知ることになるので、これ以上の抑止はない。
すべてを知らなくとも、隠しても・・・
インターネットなどでいくらでも情報や手法を知ることができるのだから、両方を知り体験することで機能するものは大きく、最大の牽制機能が働く事になる。
あり得ない事まで考えないと、本当の情報セキュリティ対策にはならないのである。
監視一辺倒の対策よりは、意識向上も含めてもっとも有効な１つの策である。
新倉茂彦
最新記事 by 新倉茂彦 (全て見る)
- 使ってはいけないダメなパスワードTop200（日本人版）と代替案なきダメはもっとダメ - 2021/11/24
- 近々フィッシング詐欺メールにもAIが騙しにくるかもしれない - 2021/08/13
- 顔認証の40％以上を突破するAI技術で判別不能なスッピンを思い出す - 2021/08/05
何をどこからどのようにすれば？との質問が多くあります
急激な社会環境変化により従来の概念や方法では解決できないことが多くなりました。
従来の業務は会社の中で行う → モバイルを活用して場所と時間の制約が無くなった → 自宅などの会社以外の場所で通常と同じレベルの作業が求められる（現状のリモートワーク）
労働・雇用環境の変化に応じて基準となる「就業規則」も変えなければなりません。同時に業務を進めるために「最低限のセキュリティ」も確保しなければなりません。
しかし教育も体制もない中、どのように進めればいいのでしょうか？と問合せが増えています。