日経BP ネットビジネスTODAY > セキュリティウォッチ

情報漏えい事故の防止には，ユーザーの“ルール破り”やミスに注目せよ

（2005/11/29　東山　栄一＝NECソフト株式会社）

情報漏えい問題が特にクローズアップされるようになって3年ほどが経過している。この間，個人情報保護法の施行もあり，企業のセキュリティ・マネジメント体制は大幅に強化されてきた。しかし，実際には情報の盗難・紛失事故の発生件数は減っていない減。その原因としては，「ユーザーが禁止されている行為をしてしまう」「ユーザーがミスを犯してしまう」---の2点が挙げられるだろう。今回の記事では，「なぜこうしたことが起きるのか」「どのような対策を施せばよいのか」について，セキュリティ・マネジメントの観点から考えてみたい。

禁止事項やリスクを知らない

情報漏えい事件というと，「ユーザーの悪意によるケース」を思い浮かべる方は少なくないだろう。実際，悪意による事件は発生している。しかしながら，事件事故の現実として，悪意による件数は比較的少ないことから，今回の記事では，ユーザーの悪意に起因する事件事故は検討対象から外した。

まず，「やってはいけないこと」をユーザーにさせている原因としては，大きく分けて以下の4つが考えられる。

（1）「やってはいけないこと」を知らない（2）顧客が喜ぶサービスを提供したいという気持ち（3）会社のためにやっているという勘違いの自負（4）自分だけは大丈夫という根拠のない自信

（1）については，そもそも禁止事項を知らないので，ユーザーに“罪悪感”は一切ない。（2）と（3）については，禁止されていることを知っていても，それをおこなうことのリスクを分かっていないために，業務の遂行を優先させてしまう。（4）についても，（2）と（3）と同様である。リスクが分かっていないために，根拠のない自信が生まれる。

これらのいずれについても，不足していることはユーザーへの「徹底的な周知」と言えるだろう。「やってはいけないこと」をさせないためには，禁止事項と罰則規定について十分な教育を実践する必要がある。 [全文]