第13回　情報セキュリティの考え方に関するトレーニング

設問　1.1.
　 まずは表2の信号の色の場合それぞれについて、歩行者であるあなたは横断歩道を渡るかどうかを、正直に書いてください。「あなたの行動」の欄に、「進む」もしくは「止まる」を記入します。交通ルールの確認ではありませんので、あなたのいつもの行動を書いてください。

解説　1.1.
　すべて記入できたでしょうか。この設問は読者の皆さんだけで考えるのではなく、組織のあらゆる部門で数名の方を対象にやってみると良いでしょう。興味深い結果が得られると思います。

　ここで重要なのは、プロセスについて検討すると言うことです。

　勘の鋭い方はおわかりになられたかもしれませんが、この表の中には「歩行者用、車用ともに赤」という箇所が２つあります。しかし、状況を考えるとこの２つは大きく異なります。また、この２つの時にもっともルール違反が起こりやすい箇所でもあります。とはいえ、違反する人はこの２つの「歩行者用、車用ともに赤」の両方で違反する訳ではないというのも興味深いところです。

　目に見える現象（止まっている状態で確認できる現象）が同じだからといって、同じ対策を施せば良いというわけではないと言うことがわかります。つまり、ルール作りやセキュリティ管理策の選択においては、そのときの状況を把握する必要があるということです。

　これには業務プロセスを正しく理解しておくことが必要であり、情報資産調査においても、業務プロセス単位で実施することによって、中間生成物などがなにかを把握することができ、より具体的で効果的なセキュリティ管理策を実施できるようになります。

設問 1.2.
　 次に、交通ルールとして正しい内容を表2の「交通ルール」の欄に記入してください。

解説 1.2.
　 交通ルールを確認した場合、多くの方は正しく記入することができます。つまり、交通ルールについては、十分に理解できているということです。にもかかわらず、ルールが順守できないのはなぜでしょうか。それは、それぞれのシチュエーションにおいて自由な判断をしているからです。例えば、車が来ないから安全だろうとか、急いでいるから渡ってしまおうという判断です。また、信号無視をしてもペナルティを受けることがないという回答もありました。

　あるシチュエーションにおいて、それぞれが思考を巡らすことはビジネスにおいて重要なことです。しかし、ルールを守るという点においては、これは得策ではありません。どうしてそのルールが策定されたのかどうかと言うことを理解せずに独自の判断がなされたのだとすれば、それは大きな事故につながる可能性があるからです。

　たとえば、車が来ないから安全だろうと判断した人は、本当に車が来ないことを確認したのでしょうか。その確認が万全だったと言えるのでしょうか。それはその人にしかわかりません。信号無視というルール違反においてはそれでもかまわないかもしれませんが、情報セキュリティにおいては大きな問題です。個人の勝手な判断が許されているというのは、マネジメントシステムが正しく構築されていないということを表しています。

　つまり、周知しているからと言って、それが徹底されているわけではないと言うことです。また、ルールを徹底させるためには、単に文書化したり、教育をするだけではなく、訓練や試験、誓約書など、個人がルールについて深い理解をしたという確認を得ることが必要です。

設問 1.3.
　あなたが記入した交通ルールについて質問です。あなたが「進む」と答えた箇所について質問します。ここではあなたが進むことについて、「進むことができる」のか「進まなければいけない」のかどちらでしょうか。

解説 1.3.
　今回のトレーニングのルール（表1）では「青は進め」と記なっていますから、歩行者の信号が「青」の場合、歩行者は「進まなければいけない」と判断するのが良いのではないかと思います。自動車の場合は、青信号で進まなければ後続の自動車に迷惑が掛かり、そもそもの交通ルール制定の目的の一つである交通の円滑化という意味からも「進まなければいけない」という常識的判断が働きます。一方、歩行者においては青信号で進まなくても大きな問題が出る可能性は少ないでしょう。だとしても、「青は進め」という今回のルールについて、「進んでもよい」という解釈をするのは無理があります。

　ルール作りにおいて曖昧な表記をすることは、個人の判断にゆだねた結果を導くことになります。たとえば、「できる限り速やかに報告すること」というルールは、それぞれの個人のできる範囲という曖昧さを含んでいます。つまり、個人の能力に応じた範囲でルールを順守すればよいと言うことになります。

　もちろん、こういった趣旨のルールがあっても良いかもしれませんが、それはあくまで内部だけの問題であって、監査のインタビューなどでは、ルールが正しく守られていないと判断されてしまうかもしれません。「それぞれのできる範囲で」と考えることも重要ですが、それが無制限になっていてはいけません。「少なくとも24時間以内に報告すること」といった形で制限を付けていくこともルール作りには重要なことでしょう。