情報セキュリティはPDCAを回せ

この木曜日・金曜日と、ISMS（Information Security Management System：情報セキュリティマネジメントシステム）内部監査員の研修を受けました。（JIS Q 27001/JIS Q 27002:2006）

クレジットカードの個人情報流出など、昨今、情報セキュリティに関わる事件が目に付きますよね。企業にとって、情報セキュリティ管理（マネージメント）は大変重要な要素です。

情報セキュリティとは、情報資産の機密性、完全性、可用性が確保・維持された状態をいいます。

基本方針の策定からリスクアセスメントなどのISMSの確立及び運営管理から内部監査、マネージメントレビュー等、たくさん勉強させてもらいました。

普段は「関係ない」と思っている方、情報セキュリティを今一度考えて、情報資産の取り扱いと情報セキュリティポリシーに触れてみては如何でしょうか？

セキュリティ対策の重さって？

ソニー・コンピュータエンタテインメントのインターネット配信サービス「PlayStation Network」へのハッカー攻撃で、多大な個人情報が流出し、大きな問題になっていますね。氏名、住所に加えてクレジットカードのデータなど、過去最大規模の事故となっています。当該事業をグローバルに、そして更なる拡大を目指していただけに、大きな痛手となったことでしょう。

同社は被害者でもありますが、同時に自己の管理体制の甘さが指摘されています。今回の事故はサーバの脆弱性から来ており、既知の脆弱性を突かれた結果、浸入されたようです。セキュリティパッチが当たっておらず、また、ファイヤウォールも設置されていないとの話もありました。

今後の損害賠償に関わる損失がどのくらい計上されるのか分かりませんが、長期的に見ても経営へのインパクトは大きいと思わざる得ません。

セキュリティ対策は何処までやっても切りがありませんが、ポリシーを策定する上でも最低限、「一般的」と言われるレベルまでは講じる必要があります。その「一般的」にはガイドラインはありませんが、セキュリティ投資は年商規模や業界標準がある程度、公開されています。

もちろん、調査結果からなので信憑性は高いとは言えませんが、事故発生後に世間が評価する指標としては、その「一般的」で判断するんですから。中小企業の対策に大企業のモノは求められませんし、逆に中小企業並みのセキュリティポリシーをソニーが講じていたら、非難は避けられないでしょう。扱っている情報の大きさ、多さ、重さ、社会への影響度が異なりますもんね。自社のポリシーは身の丈にあったものであり、これを宣誓するのは経営者なのです。

セキュリティ対策は先ずヒトから

海上保安庁の中国船衝突映像流出事件で世間は揺れています。賛否両論ありますが。。。

さて、情報セキュリティには、一般的に「機密性の確保（情報漏洩対応）、完全性の確保（情報改ざん対応）、可用性の確保（障害対応）」の三原則があります。

情報セキュリティ対策は投資コストを高めれば高めるほどセキュリティレベルはより高まります。一方、利便性は低下します。このバランスを何処に置くかが大切で、セキュリティポリシーの策定は各企業毎に異なります。とは言え、100%を担保することはできませんが。

どんな対策を講じても人為的な漏洩は防げません。そのため、誰が（認証ID/パスワード等）、いつ（管理されたシステムカレンダー下）、何処から（IPアドレス/MACアドレス/ネットワークセグメント等）､どこに（ファイル/フォルダ/サイト等）、何をした（閲覧/削除/コピー/移動/リネーム等）を追跡できる必要があります。

ITによる対策や社員教育も対外的な宣誓の意味でも重要ですが、最も大切なことは、「他人（同僚や親類、家族）に迷惑を掛けない」と言った「人として」の気持ちを持つこと。紙媒体や口頭での情報も同様に。

イヤン、見ないで！

早くも上海万博では予約券の入手を巡り、初日から混乱が起きているようです。きちんと並びましょうね。

さて、中国と言えば、Googleの撤退問題が記憶に新しいのですが、先日、お客さんとの会話の中で中国当局の検閲が話題に挙がりました。

中国には強力なファイア・ウォールが設けられ、当局が禁ずるキーワード（天安門やダライ・ラマなど）に対し、フィルタリングが行われています。有害と判断されたサイトへは国内からのアクセスが遮断されたり、キーワード検索を不可能にさせたりします。これはメールも同様。メール本文や添付ファイルも対象に検閲されます。しつこくアクセスした場合には、ネットワーク自体が接続不能になる様子。

お客さんの現地拠点では、メールの遅延や間引き、特定のIPが接続不能になったりと、おかしな活動を行っている訳では全く無いのに、過剰な検閲が働いている様子。不当、誤認逮捕されては困ります。。。

中国携帯電話の最大手「中国移動」（China Mobile）は、携帯電話のメール検閲に協力する方針で、有害情報と見なされた場合、メール機能を強制停止するとのこと。

言論の自由は尊重されるべきですね。急激な経済発展を果たした中国への期待は大きいのですが、全てを統治する姿勢は敬遠されているのも事実。模倣文化やマナー問題など含め、課題がまだまだありそうです。今後のオフショア先では中国やインドに続き、人件費や民族性でインドネシアが拡大すると言われていますし。

情報は爆発だ！

日々、情報は増え続けています。一昔前は数バイト、数キロバイト。このリソースを最大限に活かすべく、システムエンジニアは苦労を重ねてきました。

しかし、今やメガバイト、ギガバイトを経て、テラバイトを超える勢い。記録媒体も増大化し、CD[Compact Disc]からDVD[Digital Versatile Disc]を経て、Blu-ray Disc へ。更に、次世代構想も既に固まっており、目が回る程の大容量化が見込まれます。回線インフラも広帯域化を成し、情報量は留まるところを知りません。

これに伴い、情報漏洩対策は投資増大の傾向を辿っています。広帯域ネットワークや携帯端末、コンパクトで低価格・大容量化するメモリカード（USBメモリやSDカード等）等を媒介する大量のデータには個人情報を始め、企業の機密情報も含まれます。

留意すべきは、持ち出さない対策を講じるのではなく、その判断にあります。権限を設けてデータへアクセス自体できなくする、アクセスはできるけれどスクリーンショット含めコピーできず閲覧のみを許可する、全てを許可するがアクセス・操作ログを採取できるようにしておく（データ保管側、操作端末側、または両方）等、セキュリティポリシーは多様です。もちろん、デジタルデータのみならず、紙媒体も重要な対象情報ですよね。

セキュリティ対策は手間暇掛ければ掛けるほど、強靱な対策が施されます。一方では投資費用の増加が見込まれ、更に管理面や利便性に於いては大きな負担を強いられます。これら3点は相互にトレードオフの関係にあり、バランスの取り方が企業にとってのセキュリティポリシーであり、社内（部門内、場合によっては社外）への宣言となります。

余談ですが、テレビもデジタル化で膨大な情報を扱います。１秒間の映像にはパラパラ漫画の要領で静止画が約30枚収まっています。フルハイビジョンでは1920×1080の高解像度の画像データが転送されます。そこには付加情報も含まれます。

まさに情報は爆発です。岡本太郎先生も言っていたかどうか定かでは有りませんが。今回は脱線して、セキュリティ対策と情報に関わるお話を書いてみました。詳細を聞きたい方はお問い合わせを。それでは次回お会いしましょう。