情報漏洩はシステムで防げるか？

　どのように、情報漏洩を防ぐか？これは顧客との信頼関係において、避けては通れない「問い」です。ここをおろそかにしている企業で、倒産した企業も少なくありません。そのような中、当然ちまたには、様々なセキュリティシステムがあふれかえっています。13日～15日に開催されていた情報セキュリティEXPOでも、改めてかなりの量に驚かされました。確かに、どのシステムも一見凄そうです。何かが防げそうです。ただし、いわれるとおりにココも危ない！あそこも危ない！で導入していたら、いくらお金があっても足りません。それ以前に、なにがなんだかよくわからなくなってしまいます。

　とはいえ、景気が良く余裕があるときは、ついつい導入してしまう企業さまも多いです。ですが、使う側の社員は、アレルギーを起こしてしまいます。一番単純な例が、一人あたりのパスワードが両手の指の本数にも収まらず、やむをえずPCに貼ってしまうことです。本末転倒です。本末転倒なのに、管理側も何もいわない場合があります。これは、いざというときは、「これだけ対策をやったのに、社員が守らないから悪い」という言い訳ができるからです。しかし、これは内部事情であり、顧客にとってみれば、理由はどうあれ、迷惑をかけられているわけですから、損害賠償ものです。少なくとも信頼は失います。このように、システムが本来の役割を果たしていなかったり、社員の負担になっていることを某ベンダーさんはメタボセキュリティとおっしゃっています。とはいえ、そのような状態を作っていったのはベンダーですから、身勝手な話だと思って、私はあまり好きなコピーではありません。食べさせるだけ食べさせて、体調が悪くなったら、とりあえず吐かせて、今度は薬を飲め、みたいな形で。。。

　私の経験で確実にいえるのは、システムのすごさで選んでも本来の価値は発揮しないということです。大切なのは、いかに社員が使いこなすせるかです。どんなに良いシステムを入れても、それを使いこなせなければ、高価なだけでまったく本来の能力が発揮されない。身の丈にあったシステムを導入することで、社員が「これなら守れる！」と思えるものにとどめて、あとは社員の意識を醸成することがもっとも有効な情報漏洩対策だと私は考えています。

　実際、2005年の情報漏洩の原因調査の結果によると、多くの原因は、紛失か盗難（しかも紙媒体）ということがわかっています。もちろん、できるだけ使いやすいシステムを導入して、システム面で、ヒューマンエラーを防ぐ形をとることは重要です。ですが、経営者・社員の意識醸成（リテラシーの向上）やルールの規定に十分な時間を割いてすすめないことには、真に情報漏洩を防ぐことはできないと考えています。

情報セキュリティ白書2009 ~岐路に立つ情報セキュリティ対策:求められるIT活用との両立~ 新品価格￥1,200から (2010/6/27 12:11時点)