情報漏えいを防止するための対策は，性善説と性悪説のどちらで取り組むのが効果的なのだろうか。日経Windowsプロの9月号で特集した「ここまできたクライアント管理」の取材を進めていくうちに，改めて疑問がわいてきた。

　特集のタイトルで「ここまできた」と強調したのは，情報漏えい対策のために管理内容が一段と厳しくなったためである。例えば，外部記憶媒体への書き込みを禁止したり，ハードディスク全体を暗号化したりする，といったことがユーザー企業で始まっている。

　さらに，クライアントのハードディスクに保存してある個人情報ファイルを自動的に探し，所在を管理する「個人情報探索ソフト」も登場した。既に大手電力会社や通信会社などの数万クライアントに導入されているという。

　特集では3つの個人情報探索ソフトを紹介したが，これらには性善説の考えを基にしたソフトと，性悪説の考えを基にしたソフトがある。情報漏えい対策を進めるに当たって，性善説で取り組むか性悪説で取り組むかについては，よく議論されていることである。筆者は，「情報漏えい対策を強化するには，もはや性善説に頼ることはできず，性悪説で取り組まざるを得ない」というのが，大きな流れだと認識していた。だが今回の取材で，性善説で取り組む方法にも効果がありそうな気がしてきた。

ハードディスク内部を強制的に探査

　個人情報探索ソフトとは，独自のアルゴリズムでハードディスク全体をスキャンして，個人情報となる氏名，住所，電話番号，メール・アドレスなどが複数含まれるファイルを「個人情報ファイル」として，リストアップするものである。パソコンのユーザー自身が，保存していることを忘れてしまっているような個人情報ファイルも見つけ出すことができ，思わぬ漏えいを回避できる。

　性悪説に基づいた個人情報探索ソフトの場合，クライアントの管理者権限があれば，LAN経由でエージェントを強制的にインストールし，自動実行した後，結果も管理サーバーに吸い上げることが可能だ。ユーザーは，ハードディスク内部を探索されることを拒否できない仕組みになっている。

　一方，性善説を基にした個人情報探索ソフトは，ユーザーが自らが探索用のエージェント・ソフトをインストールして，実行しなければならない。探索結果を管理サーバーで一元管理する場合は，エージェントを実行する前に探索結果を送信する管理サーバーのIPアドレスを入力する必要もある。

　これらのソフトは，細かい機能や探索性能，価格が異なるが，性善説で取り組むか，性悪説で取り組むかは大きな違いだろう。個人情報ファイルの管理を徹底したい場合，どちらが効果的なのだろうか。

性善説でユーザーの意識を高める

　まず，性悪説に基づいた個人情報探索ソフトを使う場合，クライアントのユーザーが操作する必要はなく，拒否することもできない。このため，調査が極めてスムーズに進むメリットがある。個人情報ファイルがどこに保存されているかという調査は定期的に行うものなので，ユーザーの手を煩わせることなく何度でも実施できる。

　一方，性善説に基づいた個人情報探索ソフトを使うの場合，ハードディスクの内部を調査するかどうかはユーザーの手にゆだねられている。調査することに異論はなくても，日々の業務に追われるユーザーからすると，エージェント・ソフトをインストールして，実行するのは面倒な作業だろう。「個人情報ファイルがハードディスク内に存在する」という結果が出てしまえば，保存が必要な個人情報ファイルどうかを判断して，セキュリティの高いサーバーなどに保存する，といった新たな作業も発生する。社内で一斉調査を進めようとしても，なかなか進まない可能性がある。

　しかし，性善説のソフトを開発したベンダーは，「ユーザー自らが個人情報の探索作業をすることで，『個人情報が自分のパソコンに入っている』と認識させることは重要な意味がある」と強調する。個人情報が入っていることが分かれば，ノート・パソコンを放置するようなことは，おのずと防止できるかもしれない。

　性善説に基づいたソフトでは，探索結果として一覧表示された個人情報ファイルのリスト画面に，ファイルを消去するためのボタンがあり，不要なものを簡単に消去できる。これによって，「不要な個人情報ファイルを保存しておくことは危険である」という意識付けもできる。こうした個人情報ファイルの探索と消去を何度か繰り返せば，「個人情報ファイルを厳重に扱う」という考え方がパソコンのユーザーの間に根付くことを期待できる。

ユーザーに浸透する教育が重要

　さて読者の方は，性善説と性悪説のどちらで取り組むのが効果的だと思われるだろうか。いずれにしても，ユーザーに浸透する教育が重要であることは，はっきりしているだろう。性悪説を前提にしてクライアントの操作を制限するソフトでも，様々な警告メッセージを出すことで，ユーザーを教育しようとするソフトもある。

　座学による教育でも効果的なものがある。オンラインで外国為替サービスを提供するある企業では，弁護士が講師を務める社内セミナーを開催している。セミナーは少人数で行われ，顧客情報を取り扱うときの法律上の責任などについて説明している。少人数であるため，ある社員の名前を挙げて，「○○さんがもし顧客情報を持ち出した場合.....」と弁護士自らが説明していくこともある。こうした教育は大変効果的だという。