誰のための情報セキュリティ？

・・・会社でのネット利用、パソコン管理が厳しくなった話をしたが、続けて今日は「個人情報保護と情報セキュリティ」について、社内研修会だった。

といっても専門講師を呼んで講演、とかじゃなくて、自社のお偉いさんによるもの。だから、セキュリティを破られ被害者となる「個人」の立場ではなくて、破って加害者となる「会社組織」の立場で貫かれていた。何かというと「社の信用が」というセリフが出てくる。

よくよく経緯を聞いてみると、案の定本音が出た「親会社からの評判が悪い」「データベース構築とか情報・IT系をやってる割にしては、いろいろ管理がずさんだ」と風評がたっている。と。

親会社での「風評」などという不確かなものに青くなって、上層部が慌てていろいろ考えたわけだ。んで、なんとかいうオカミの外郭団体から「あなたの会社は情報セキュリティーが行き届いていますよ」というお墨付き・免状をもらうことにしたそうだ。

ところがそのお墨付きが、タダでは頂けない。その団体の監査を２年に一回だか受けなければならない。それも法律の面倒な書類申請がカラミに絡むらしい。結局代書屋・コンサルタントに依頼する。それでまた金が掛かる。でもだからといって全部やめにしては、親会社から仕事が出なくなる可能性がある。結局ゼニのため不承不承なのだ。そんな上層部のとばっちりが、現場に来るわけだ。

まず問題がもうすり替わっている。お墨付きを貰うことが目的になっている。そのお墨付きだってどのくらいのものなのか分かったモノではない。官僚と財界大物がつるんで税金のがれにこしらえたような団体だってあるからね。しかも理由が、結局は親会社のゴキゲン伺いであるとは情けない。「情報セキュリティは大切だ」とお題目は言うが、果たして理解しているのか居ないのか。どこそこの会社が顧客情報流出で、損害賠償をいくら払ったとか、そんな問題か？

本当に情報を守るやる気があるのなら「セキュリティーを破った場合の本当の怖さ」を、ひとりひとりに事例を持って見せてやらねば。もし、カード番号やらIDやパスワードやらが盗まれたらどうなるのか。逆に、うっかり流出流用させてしまった場合はどうなるのか。被害者と加害者の双方の立場に立った目線から、ドラマでも作って、具体的な事例を示さねば、ひとりひとりに浸透なんかしやしない。

さらにインフラも重要だ。専用回線にする、ファイヤーウオールをガッチリ構築する。「ファイル送りたいからフォルダどっか共有にして」「あいよ」なーんてやっていたのでは、そもそも出発点から駄目！

銭とか、会社の体面とか、そんな実体のないモノばかりが優先され、肝心の「個人の情報」は、いつもどこかへ飛ばされて筒抜けてしまう。そして今日もスパムメールの荒である。