私は仕事柄、情報セキュリティ推進の責任者の方とお話しすることが多いのですが、昔からよく聞かれる会話が「このシステムはクローズドなので大丈夫です」というものです。つまり、インターネットや他のOA系のネットワークとは隔離されているので安全である、という意味です。

　その油断がインシデント（事故）を誘発するのですが、上記のようにおっしゃる方に説明をしても、たいていの場合は耳を傾けていただけません。例えば、私が「クローズドだと思っていても、実はどこかつながっているところがあるのではないですか？」「ネットワークはつながっていなくても、ファイルのやりとりがあるのではないですか？」と質問しても、「そんなことはない」「大丈夫だ」というFAQのような答えが返ってきます。

　私が過去に訪問したことのある工場に、隔離されたFA（factory automation）ネットワークがありました。そのネットワークでは通信内容が平文で流れていて、盗聴も改ざんも容易にできる状態。しかも隔離されているがゆえに、サーバーにはセキュリティパッチが適用されておらず、ウイルス対策ソフトのパターンファイル（ウイルス定義ファイル）も自動更新されていないので、万一侵入された場合にはまったくの無防備な状態でした。

　担当者は「このFAネットワークは隔離されているので、ハッカーは入り込めないので大丈夫です。」とおっしゃいました。確かに、ネットワーク図を拝見したところ、その図の上ではどこにもつながっていません。