経理・人事情報は重要なのか

 具体的に各情報について検討してみよう。

 経理系データは,さすがに金銭関連の情報だけあって,従来から管理は厳重である。一般に,同じ組織のスタッフでも簡単には見ることができないはずだ。ではこの情報を入手して喜ぶのは誰なのだろう。

 まず頭に浮かぶのは税務署である。しかし税務署にしても,不正経理疑惑などがなければ,特に欲しい情報ではないだろう。

 では,ライバル会社だろうか。いくら業界内のライバルだからといって,堅いガードを破って経理の情報を手に入れてどうするのだろう。確かに資金繰りや取引先,取引額などを具体的につかめるが,別に経理のデータを直接見なくても,そういう情報は入手可能だったりすることが多い。苦労する割に,思ったより利用価値は高くないのではないか。

 人事系データもけっこうガードは堅い。経理データと同じく,他部署のスタッフは触れることが難しい。その割には,人事スタッフとは別のルートから漏洩することが多い。それに,漏洩したところで何に使うのだろうか。いきなり金銭と交換できるような人事情報なんてあり得ないのではないか。

 顧客や取引先のデータなら,自分のところから漏洩したことがバレると問題になりそうではある。しかし,そもそもこの種のデータに,漏れたらまずいものがあるだろうか。というか,そもそも漏れたらまずいような情報をやり取りすることが,そんなにあるだろうか。せいぜい会社四季報に載っている情報程度だったりしないだろうか。当事者同士では秘密にしたい情報であっても,それが外に出たとしてどのくらいインパクトがあるのだろう。せいぜい,予期せぬ(必要のない)売り込みが増えたりするくらいじゃないのだろうか。仮に,それ以上の情報をやり取りする場合は,秘密保持契約などでリスクヘッジしているのが一般的だろう。

 関連会社のデータは,取引先のデータよりも重たいかもしれない。しかし,いくら関連会社だからといって,その会社の死命を決するような情報を入手できるだろうか。いや,それ以前に会社の存亡を左右しかねない情報とは何だろう。

研究開発データは守る

 研究開発系データは,さすがにヤバい。先に商品化されたら数億・数十億の開発投資がパーとか,先に発表されたら何億もの事業分野をすべて失うとか,危ない状況が容易に想像できる。経済的価値も高いが,普通はその分ハードルも高い。二重三重の障壁を突破しないと,そもそも情報にアクセスすらできないはずだ。一般的な情報セキュリティ対策というよりも,産業スパイ対策ということになるだろう。

 研究開発以外の仕事のデータ,例えば営業系データなどはどうだろうか。直接競合している相手に見積もり金額が漏れたら,商売上不利になることは考えられる。しかし逆に言えば,それは直接競合する相手が直面する商売の情報を盗み出した場合にのみ起こることだ。あるいは,別の第三者が盗み出したとしても,直接競合する相手以外には役に立たない(=金銭に交換できない)。

 このほか,例えば仕入れ金額などの情報が漏れたとしよう。これまた商売上で直接競合する相手や,仕入先と競合する業者以外にはあまり役に立たない情報だろう。直接の競合相手が盗み出すにしろ,第三者にしろ,アシがつきやすくリスクが高い。何しろ,盗み出した情報を使って喜べる人が限定的なのだ。最初から容疑者が特定しやすい割には,あまり大きな利益は得られそうもないように思えるが,どうだろうか。

 研究開発系,営業系データ以外の仕事データには,例えば商品のデータがあるが,商品データとしては秘密のレシピが漏れると困るだろう。商品の中核となるノウハウは,最大で研究開発系データと同レベルの保護下にあるはずだ。利用価値も各商品なりに発生する。

園田 道夫 Michio Sonoda

筆者は情報処理推進機構(IPA)の脆弱性分析ラボ研究員,および日本ネットワークセキュリティ協会(JNSA)の研究員を務める。JNSAではハニーポットワーキンググループ,セキュリティスタジアム企画運営ワーキンググループのリーダーとして活動している。MicrosoftのSecurity MVP。現在セキュリティ夜話(http://www.asahi-net.or.jp/~vp5m-snd/sec/),極楽せきゅあ日記(http://d.hatena.ne.jp/sonodam/)にて連続的に読み物掲載中。