顧客情報をはじめとする企業の機密情報の漏えい事件が後を絶たない。JNSA（NPO日本ネットワークセキュリティ協会）の報告によれば、2008年度の情報漏えい件数は1373件。2002年度が63件であったことを考えると、情報漏えいのリスクは少なくなるどころか、圧倒的に高まってきている。
情報漏えいは企業の信頼を失墜させ、被害が大きければ企業の存亡まで問われかねない。それほど大切なことなのに、なぜ情報漏えいの事件、事故はなくならないのだろうか。【井上晶夫】
アイティメディアが2月25日に開催した経営層向けのセミナー「第13回 ITmedia エグゼクティブセミナー」に登壇し、「相次ぐ不祥事 なぜ情報漏えいは後を絶たないのか」と題した基調講演を行った牧野二郎弁護士は、「情報漏えいが取りざたされる企業は、えてしてセキュリティに対する意識の高いところが多い」という見解を示した。情報管理のルール作りを行い、企業内部を統制する管理体制を整え、社外のコンサルタントにリスク対策を依頼し、という万全な体制で臨んでさえ起きてしまうのが情報漏えいだというのである。
情報漏えいが起きる原因には、「情報の流通過程で起きるバグ、人間の不完全さで起きるバグ、システムの欠陥で起きるバグの3つがある」と牧野氏は述べる。情報のバグとは、経営陣や管理職、実務担当者の間に起きるコミュニケーション不足が原因となるものだ。人間のバグとは、ノートパソコンの紛失やWinnyをはじめとするP2Pソフトの使用などによるものである。システムのバグとは、プログラムやデータをコンピュータで管理する中で起きるエラーやシステムの不備によるものだ。
情報を流通させるシステムや機器のプログラミングは、元をたどれば人間が手掛けたものだ。人間を不完全なものとするならば、情報漏えいの機会はあらゆる場面に存在していると言うことができるだろう。だとすれば、企業はリスクに対して何も手を打つことはできないのか、何もやらなくてもよいのか。決してそういうことではない。情報漏えいの回避のために、企業はより正しい取り組みを徹底して行わなくてはならないのである。
●“やっているつもり”のリスク回避では通用しない
例えば、社員がノートパソコンを社外に持ち出すときに上司の許可が必要だとしよう。その際、上司は部下のパソコンにどんなデータが入っているか完全に把握できていなければ、それは許可ではなく単に持ち出しを認識したというレベルに過ぎないと牧野氏は指摘する。
また、システムやプログラムの設計を外部に委託する場合、セキュリティ担当者にはIT技術者と同等レベルの知識が必要だとも牧野氏は語る。なぜなら、知識が不足している場合、出来上がったシステムにバグがあったとしても、その誤りを指摘することができないためだ。
「担当者に知識がない場合は、知識のあるIT技術者や専門家をもう一人立てて、システムなど成果物の監視を依頼するとよい。経費は余計に掛かるが情報漏えいで発生する損失に比べれば微々たるものである。そこまでやらなくてはならないのだ」（牧野氏）
人間によるバグを防ぐため社内に徹底したルールを敷くことは、実はあまり効果がない場合も多いという。ルールが細かくなればなるほど、社員一人一人が把握できる規律の範囲を越えてしまい、形骸化してしまうからだ。また、セキュリティ教育に力を入れようにも、正しく行われなければ効果は薄いという。
●人間が作るものには必ずバグがあると自覚せよ
どうすれば情報漏えいのリスクは回避できるのだろうか。まず、情報のバグに関しては、「徹底した情報管理を行えばリスクをつぶすことができるかもしれない」と牧野氏は話す。会社のパソコンは持ち出さない、機密情報は経営陣だけが把握するなど、明確な管理体制を敷き、違反者には処罰も辞さないことをあらかじめ明文化しておくことが重要である。会社で配布した携帯電話にどんなデータが入っているかをチェックして把握することは、プライバシーの侵害ではなく、会社の義務であると考えるべきなのだ。社内に流通する情報に関しては、すべてこういった厳しい姿勢で臨む必要がある。
システムのバグについては、すでに述べたように、担当者が豊富な知識を持って向き合うしかない。システムは人間が手掛けるもので必ず間違いは起きる、という前提に立った用心深いものの見方を持つことが大切なのだ。
人間が起こすバグについては、社内で正しい教育を施すことが重要になってくる。ここで言う正しい教育とは、社員各自が「なぜ社内統制を行わなければならないのか」、「会社にとってのリスクとは何か」ということを自覚し、結果として、リスクの回避策を確立し、やがては社内の体質改善につながることを言う。
●成功体験の積み重ねが、やがては会社の体質になる
効果的な教育を実践するためには、社内のコミュニケーションが不可欠である。外部のコンサルタントに社内統制を依頼しても、問題の本質をつかんでもらうことは非常に難しく、時間も掛かる。例えば、コンサルタントから社内統制策定の３カ年計画などを提示されても、いま目の前にあるリスクは緊急で回避すべきものなのだ。仮にコンサルタントの提案を受け入れたとしても、「3年後に出来上がったリスク対策が不完全なものであることは十分考えられる」（牧野氏）のである。
管理者は実務担当者と綿密なコミュニケーションをとり、徹底的にリスクの洗い出しをすることから始める。実務担当者が日々の業務の中で危険を感じていることを拾い上げ、それをつぶすことに注力する。リスク回避の具体的な方法は、実務担当者に提案してもらうのがいいだろう。牧野氏は「実務担当者の案を実行すれば、リスクの大小にかかわらず、効果は確実に現れてくるものである。自分たちの手でリスク回避ができたという経験を積ませることが大切なのだ」と強調する。
経験が蓄積されると、自信がつき、やがてリスク回避の考え方が社内の血となり肉となって浸透していく。社内全体に主体的なセキュリティ意識が醸成されていくのである。そのためには、リスク回避に対する公平な評価基準を設けておくことも重要なことだという。
「いかに社内統制が大切なのか、社員一人一人がきちんと理解する体制を築くとともに、リスク回避が正しく行われていれば評価し、違反があれば処罰する仕組みを構築すべきである。会社にとって重要なことは何かという評価軸があれば、社員はその軸に沿って考え、行動することができるのだ」（牧野氏）
（ITmedia エグゼクティブ） 3月30日14時34分配信
ITmedia エンタープライズhttp://headlines.yahoo.co.jp/hl?a=20100330-00000052-zdn_ep-sci
ニックネーム：rrwnghqwxwgwoa
