Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。市場を勝ち抜く企業はどこにIT部門から“組織変革”を~気鋭のトップランナーを訪ねる~EnterpriseZine編集部が最旬ITトピックの深層に迫る。ここでしか読めない、エンタープライズITの最新トピックをお届けします。前回は、情報セキュリティ対策のうち、技術的な対策のポイントについて説明いたしました。情報セキュリティ対策は、近年の組織におけるIT依存度の高まりなどから、技術的な対策が重要になってきています。技術的な対策だけでなく、人的な対策と物理的な対策を組み合わせることが、情報セキュリティ対策の効果を高めるうえで重要になります。そこで今回は、情報セキュリティ対策のうち、人的な対策と物理的な対策のポイントについて解説いたします。人的な対策で最も重要なことは、役割と責任、権限を明確にすることです。これらが違えば、情報セキュリティ対策として実施すべきことが違ってきます。システム担当者では、もちろん組織の中での役割や責任が異なり、情報セキュリティ対策でもやるべきことが違うからです。それぞれの役割と責任、権限を認知しておくことが必要になります。これらが認知されていなくては、本人に「当事者意識」が生まれません。自分が当事者でない対策を懸命に実施する人は、通常いないでしょう。自分がその役割でやるべきことが明確になってこそ、責任が生まれるのです。ルール作りの重要なポイントやるべきことを明確にするためにも、組織における情報セキュリティのルール(基準や手順など)が必要になります。人的対策を実施する上では、ルールが必要であり、それを守ることが必要です。ルールで規制する対象は人間そのものでなく、あくまでその「行い」であることに注意をしなければなりません。情報セキュリティの事故(インシデント)が発生すると、悪者探しをしがちです。人間そのものや道具を悪者扱いし、単に罰則を科したり、利用を禁止したりしても、情報セキュリティ対策の実効性はあがりません。規制すべきなのは、インシデントが起こった原因である人間の行いであり、道具(PCやUSBメモリ、書類など)の扱い方なのです。これらが、インシデントが発生した本当の原因であり、これらを明らかにして対策をしなければならないからです。どのような行いが良く、どのような行いが悪いのか、どのような道具の扱い方が良く、どのような扱い方が悪いのか、それを人間にルールとして示すことが重要なのです。ルールはその組織が意図している情報セキュリティ対策の内容や手順等を適切に実施できるようにしなければなりません。あまりに抽象的な内容では、従業員や職員が具体的な行動や判断ができなかったり、人によって違ったりしてしまうからです。ルールを作っても「守りたくても、守れない」ということが起こりがちです。そのために、情報セキュリティ教育が行われますが、適切に行われなければ、その効果はなくルールが守れるようにはならないのです。「ルールを守れ」というような単なる精神論的な教育や、「危ない、怖い、使うな」というような恐怖をあおるような教育では、具体的な行動には移れず、逆効果になることもあります。他にも、教育をしても対策をするためのITスキルが足りなかったり、ルールがわかりにくいのでどうしたらいいかわからなかったりしては、守りたくてもルールは守れません。そのためには、以下のような項目を踏まえたルール作りが必要になります。その対策の目的や効果がわからなかったり、業務の実態に合っておらず、やればやるほど著しく業務効率が落ちてしまったりするようなルールでは、積極的に実施する気にはなれないでしょう。そのためには、動機付けが必要になります。表:動機付け動機付けには、達成感も必要です。そのために、ルールの目的や効果、やればどんなメリットがあり、やらなければどんなデメリットがあるのかを明確にし、ルールが守れたかどうかをチェックできることが重要です。この表のような動機付けを行い、従業員や職員が積極的に情報セキュリティ対策を実施できるように教育しましょう。プロフェッショナルフェローソフトバンク、日本ユニシスを経て、現職。情報セキュリティコンサルティング、情報セキュリティ監査業務を経て、現在は主にセキュリティ教育業務を担当。政府機関やIT資格団体等の委員も務めている。主な所有資格は、CISSP。Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。NEW新着記事一覧を見るイベントイベントカレンダーを見る講座イベントカレンダーを見る「EnterpriseZine」(エンタープライズジン)は、翔泳社が運営する企業のIT活用とビジネス成長を支援するITリーダー向け専門メディアです。データテクノロジー/情報セキュリティ/システム運用の最新動向を中心に、企業ITに関する多様な情報をお届けしています。イラストの無断転載を禁じます。記載されているロゴ、システム名、製品名は各社及び商標権者の登録商標あるいは商標です。