連日報道されている尖閣諸島沖での衝突事故に関し、内部関係者による情報漏えいが、情報セキュリティの担当者に波紋を広げています。

　今回の事例では、報道によれば、最初は公開前提であったファイルが、ある時に国家機密扱いに突然後から変更されたということのようです。

　一般にセキュリティ管理のためには資産価値と漏えいした場合の影響度から「セキュリティレベルのランキング」が行わることになっています。つまり、そのファイルが作成された時点でセキュリティレベルのランキングを行いそれを管理する、という考え方なのです。

　そして、メールではサブジェクトなどに機密レベルを記述したりして相手に取り扱いの注意などを伝えるような対策が一般に行われています。ファイルの場合には、ファイル名に機密レベルを含んだ命名規則（【社外秘】や【個人情報】などをファイル名に付加する）に従って、取り扱われます。

　この考えでは機密レベルは作成者が作成時点で設定するのですが、その後でそのレベルを変更することは考慮されていないのです。例えば、企業買収の交渉情報などの場合、交渉段階においては機密レベルが非常に高くても、その情報が公開されたら機密レベルは非常に下がることになります。しかし、ファイル名などで管理している場合には、そのレベル変更には対応できません。

　このようにファイル名などでセキュリティレベルの管理を行っている会社は少なくありません。そのような会社では、結局ファイル名に機密レベルを設定する行為そのものが徹底されず、形骸化してしまっていることが多いのです。

　ファイルの場合にはコピーが簡単にできるために、コピー元のファイルだけ機密レベルの変更を行なってもコピーされたファイルまでは変更できません。

　今回のケースのように、後になってセキュリティレベルを上げる場合には、コピーをした先まで徹底させることが非常に困難となります。まして、通常のファイルサーバーなどに置かれたファイルでは、閲覧やコピーなどのアクセス制御を行うことは技術的に困難です。コピーされたファイルを、ある時から「見るな」「コピーするな」ということ自体無理な話です。この場合、「忘れてください」と依頼することくらいしかできません。

　当然、ファイルがコピーされたり、そのファイルから新しいファイルが作られたりすることは想像に難くありません。丸々コピーしないで一部をコピーして使用されることもあるでしょう。また、ある文書の一部を引用して新しいファイルが作られていた場合、最初から機密レベルが高ければそのレベルに応じた管理体制、運用規則が適用されます。しかし、最初はそれほどのレベルにないのに後になって機密レベルを上げた場合には、その引用先まで管理することは現実的にはかなり難しくなります。

　ファイル単位での管理はそもそも難しいのです。

　一部の情報漏洩対策ソリューションでは、ファイルそのものだけでなく一部をコピー・アンド・ペーストした場合でも見つけ出すような機能を持つものもありますが、それを全てのパソコン、サーバー、ネットワークの出入り口に設置しないと意味がありません。そして、とても高価です。

　従って、文書などのファイルは、基本的に持ち出せない工夫をせざるを得ません。「機密情報なので持ち出さないこと」というルールは内部犯行には役に立ちません。

　ある組織のネットワークでは、USBメモリーによる情報の持ち出しが厳しく規制されています。ところが、そのために画面に表示させた書類を写真に撮って別の部署に送っています。情報漏洩という意識ではなく「業務上やむを得ず」日常的に行っているのです。

　今回の事例からUSBメモリーの管理や規制が厳しくなる動きを見せていますが、厳しくするだけではかえって情報漏洩を招いてしまう可能性もあるので、利便性とセキュリティを両立させるような管理とシステムが求められていくでしょう。