|
セキュリティ意識の向上策
セキュリティ対策の重要性は、大企業を中心に2000年頃から認識され始めた。その時の大きな課題は、「いかにしてセキュリティポリシーを作るか」ということでした。
しかし、当時「セキュリティポリシー」というのは、それを作っただけでは「単なるドキュメントに過ぎないと」いう意識に欠けていたように思います。セキュリティポリシーに基づき、物理的対策、技術的対策、運用管理面の対策をバランスよく実施し、遵守されて、はじめて「実効性のあるセキュリティが実現される」といえるのです。
現在、物理的対策、技術的対策という面からは、だいぶ実施されてきました。しかし、運用管理面の対策については、まだまだ色々と苦労がつづいているようで、「いかにしてセキュリティポリシーを遵守した運用を実現するか」という課題に直面しているのが現状のようです。
セキュリティ対策は、どんなに機械化・自動化してもそれを運用する人のモラルや意識などに大きく依存します。社員ひとりひとりがセキュリティの重要性を認識し、自分の果たすべき責任と役割を理解し、遵守しなければ、どんなに優れたセキュリティ製品を導入しても意味がありません。今回は、社員のセキュリティ意識の向上施策について、その例を見てみましょう。
１．基本的な心構え
（１）「セキュリティの鎖」という認識を持つ
セキュリティの強度は、よく鎖の強度に例えられます。それは１番弱い輪の強度が鎖全体の強度になるということです。
�ー勸�ひとりひとりがそれぞれ輪とすると、たった一人の無理解や出来心によって、それまで長い年月をかけて蓄積された企業の信用が、一瞬のうちに失われることになります。
�∧�理面、技術面、運用管理面の対策ひとつひとつがそれぞれ輪とすると、無防備な面からセキュリティ事故・事件につながります。
（２）「セキュリティ意識の改革」は持続的に粘り強く
社員のセキュリティ意識を改革することは、簡単なことではありません。手を変え、品を変え、粘り強く実施していくことが大切です。
２．向上施策例
（１）「セキュリティ教育」の継続的実施
運用管理面の重要な対策のひとつとして社員へのセキュリティ教育があります。
セキュリティ教育は、もっとも重要な社員のセキュリティ意識を向上させる機会です。単に知識として知らしめるだけでなく、他人事でなく自分達の問題として認識させるために、すべての社員に、その職務に応じたセキュリティ教育を、セキュリティポリシーの改定状況や環境変化に応じて、継続的に実施することが大切です。
（２）罰則規定の明確化と人事評価との連動
セキュリティポリシーを遵守させるには、明確な罰則規定、人事評価とのリンクが必要です。罰則については、一般的には就業規則の罰則規定を適用することになりますが、これだけでは、大事件になるまで適用されず、あまり抑止効果がありません。軽微なセキュリティポリシー違反でも繰り返せば罰則されるような規定によって、内部犯行を未然に防ぎます。また、セキュリティは、一般的にマイナス評価しかされない傾向にあります。完璧な対策など不可能ですから、結果だけを評価するのでなく取組みのプロセス、遵守度などプラス評価を行うことにより、社員が積極的にセキュリティポリシーを遵守するような文化にしていくことが大切です。
（３）セキュリティ事故情報のトレースと継続的発信
他社でセキュリティ事故が起こっても、”自分のところは大丈夫だろう”と他人事として済ましてしまいがちです。完璧な対策など不可能ですから、少なくとも他社で起きたことを自分のところで繰り返すことがないようセキュリティポリシーを確認し、セキュリティポリシーのここを守っていれば大丈夫（不足があれば直ちにセキュリティポリシーを改定する）など、“他人の振り見て我が振り直せ“で適切に対処していかなければなりません。
他社の悲惨なセキュリティ事故について、セキュリティポリシーと関連付けて、社内向けにニュースレターを配信したり、セキュリティに関するイントラネットサイトの開設したり、セキュリティ管理者が継続的に情報発信することは、組織のセキュリティに対する関心を喚起する効果があります。
（４）「セキュリティテスト」による意識レベルの底上げ
セキュリティに関するテストを行うことは、セキュリティ意識を維持するとともにセキュリティポリシーの遵守度を測定するよい機会です。遵守度を測定する際、遵守できない理由をすいあげ、測定結果を部門別、分野別に分析することで、次回のテスト実施までの強化策を絞るとよいでしょう。
また、平均点ではなく最低点で捉えることも大切です。最低点を底上げするための強化策を実施するとよいでしょう。
（５）「レッドカード」制度の導入
抜き打ちで社内点検し、クリアデスクができていない人の机上にレッドカードを置くなどするのもセキュリティ意識の向上に役立ちます。
（６）社員参画型「セキュリティグッズ」の制作
セキュリティ対策のスローガンなどを印刷したポスターを掲示したり、マウスパッドやコースターといった小物を配布したりするのも効果があります。
できれば、スローガンは社員から公募し、優秀作品をセキュリティグッズに採用すれば、管理者から社員への一方通行ではなく、社員参加型でより効果が上がるのではないでしょうか。セキュリティ対策というと、とかく押し付けられるという先入観がありますが、これであれば社員みんなで取り組んでいこうという雰囲気が生まれ、セキュリティ文化醸成しましょう。
３．最後に
小職が所属している日本セキュリティ・マネジメント学会では、6月の全国大会でセキュリティ標語を募集し、優秀作品を選定し、セキュリティ啓発に役立ていただこうと学会のホームページ（http://www.jssm.net/）で公開しています。また、2007年セキュリティ標語カレンダーもPDFでダウンロードできますので、貴社のセキュリティ啓発に活用いただければ幸いです。