PR

 あるシステム開発者は,こう語る。「社内でセキュリティ担当者グループを組織しているが,基本的な情報収集すらしていない。いつも担当外の者から不十分な点を指摘され,その場限りの対応をするだけ。この怠慢ぶりに不安を抱いている私は,たびたび社内で対策を十分するように訴えているが,いまだに聞き入れられない」――。

 こうした話を聞くと,一部にセキュリティ意識の高い人がいることは分かるが,現場全体として見たとき,「本当に危機感があるのだろうか?」と考え込んでしまう。

 セキュリティのリスクがかつてないほど高まっていることは,誰もが知っているはずだ。ここ数カ月を振り返るだけでも,アデコやカカクコム,クラブツーリズムのように,Webサイトが不正アクセスを受け,一時閉鎖に追い込まれる事件が立て続けに起こった。情報漏洩事件も,いまだに毎日のように報道されている。

 ウイルスによる被害も相変わらず多い。IPA(情報処理推進機構)によると,2005年上期のウイルス検出数は前年同期比で約30%増。また,スパイウエアで不正入手したと思われるインターネット・バンキングのIDとパスワードで,預金が引き出される事件も相次いでいる。

技術対策の前に「人」に問題あり

 事件が起きないように,取り組むべきことは増える一方である。

 それにもかかわらず,セキュリティの現場の実態はひどいものだ。日経SYSTEMSは「IT Pro」上で,セキュリティの実態に関するアンケートを実施した。ここには,回答者の悲鳴とも受けとれる声がたくさん寄せられた。

 「重要なサーバー・ルームには鍵がかかっていない。しかも,途中で全く人に会うことなくたどり着ける。入退室管理をしていないので,不審者を見分けるには人の目だけが頼り。ざっと思いついただけでも,こんな具合だ。組織が大きいため,思うようにセキュリティ対策が進んでいない」(エンドユーザー)。

 セキュリティの「セ」の字も感じられないお粗末さだが,もっとずさんな話はいくつもあった。

 このような状況を生んだ原因はいったい何なのだろうか。セキュリティ対策を進めるには,大きく分けて「ルール(ポリシー)」「予算」「人材」「技術」が必要だ。これらの一部でも欠けると,対策が不十分になる。しかし,アンケートの回答を見渡したところ,「現場がずさんな状態になる原因は,突き詰めれば『人』にたどり着きそうだ」ということが明らかになった。

 セキュリティの現場の深層を探るシリーズの第1回は,回答者の声を通してこの問題を考えていきたい。