セキュリティと組織の情報共有のお話（１）

重要な機密情報が、サイバー攻撃によってシステムから流出する事件が起こっています。ウィルスを仕込んだメールを開かせるために、実在の人物からのいかにも本物と思えるような内容を装うなど、特定の組織向けでなおかつやり方も巧妙なので、ハッカーから本気で狙われると、防ぐのはなかなか難しいようです。

最近クラウドシステムが話題ですが、そちらの専門家の方々にうかがうと、多くのユーザーが導入を考えるにあたってはセキュリティを気にすることが多く、「外部のサーバーにデータを置くのは心配」なのだそうです。

ただ、これは「銀行に預けるのは心配だからタンス預金」と言うのと同じような話で、家に現金を置いておく方が盗難や火災や天災などで生じる危険も大きいはずなのに、自分の手元に現物がある方が何となく安心と思う心理と似ている気がします。また、実際に起こる情報流出というのは、システム上の問題よりも、利用している人間に原因があることが多いということでした。

こんな話を聞いた後のある日のこと、私が電車で移動中の事ですが、隣に立っていた女性があわてた様子で何か資料を広げていて見ていました。その後すぐに打合せか何かがあって、事前に資料に目を通す時間がなくて移動中に、という感じでした。

自分の目の前なので、資料の中身が自然と目に入ってしまったのですが、某居酒屋チェーンの店舗の細かな売り上げ状況表でした。「これって見る人が見れば大変な重要情報？」と思ってしまいました。

またある取引先企業の近くのカフェにいた時、横に打合せ中の人達がいたのですが、どうも聞いたことがあるような部署名や個人名が聞こえてきて、多少の内部事情を知る身としては、どんな人たちが何の話題で打ち合わせをしているのかが、何となくわかってしまったということがありました。

「聞く人によっては利用できてしまう情報かもなぁ」と思いました。

最近はいろいろな場所でパソコンやタブレット端末を開いている人に遭遇しますが、たまたま目に入った画面が某社への提案書だったり内部資料だったり、その他いろんな事がわかってしまうことがあります。

もしもこれをシステム的な観点だけで防ごうとすると、結局昔と同じように、使える場所やアクセス権限や参照できる情報自体を制限するしかなくなってしまうでしょう。

しかしそれでは、仕事に要する時間、効率、その他あらゆることの生産性に影響してくるので、今さら簡単にできることではないでしょう。

結局セキュリティを保つには、利用する人の意識づけに委ねる部分が大きいということで、ただ「情報を制限すること」だけでは難しいということです。

もちろん、最悪の事態を考えての制限は必要でしょうが、基本的には適切な情報を与えながら、その利用の仕方をしっかり教育するということになってくるのだろうと思います。

この「情報を制限すること」だけによらない「適切な情報共有」という点は、円滑な組織運営をするにあたっても同じ面があります。

明日はこの切り口から少し書いてみたいと思います。