セキュリティ対策の重さって？

ソニー・コンピュータエンタテインメントのインターネット配信サービス「PlayStation Network」へのハッカー攻撃で、多大な個人情報が流出し、大きな問題になっていますね。氏名、住所に加えてクレジットカードのデータなど、過去最大規模の事故となっています。当該事業をグローバルに、そして更なる拡大を目指していただけに、大きな痛手となったことでしょう。

同社は被害者でもありますが、同時に自己の管理体制の甘さが指摘されています。今回の事故はサーバの脆弱性から来ており、既知の脆弱性を突かれた結果、浸入されたようです。セキュリティパッチが当たっておらず、また、ファイヤウォールも設置されていないとの話もありました。

今後の損害賠償に関わる損失がどのくらい計上されるのか分かりませんが、長期的に見ても経営へのインパクトは大きいと思わざる得ません。

セキュリティ対策は何処までやっても切りがありませんが、ポリシーを策定する上でも最低限、「一般的」と言われるレベルまでは講じる必要があります。その「一般的」にはガイドラインはありませんが、セキュリティ投資は年商規模や業界標準がある程度、公開されています。

もちろん、調査結果からなので信憑性は高いとは言えませんが、事故発生後に世間が評価する指標としては、その「一般的」で判断するんですから。中小企業の対策に大企業のモノは求められませんし、逆に中小企業並みのセキュリティポリシーをソニーが講じていたら、非難は避けられないでしょう。扱っている情報の大きさ、多さ、重さ、社会への影響度が異なりますもんね。自社のポリシーは身の丈にあったものであり、これを宣誓するのは経営者なのです。