PR

 「全社的なセキュリティ・レベルを維持するために,ユーザー教育に力を入れている」――。ケーブル・アンド・ワイヤレスIDCのウェブサービス部門セキュリティマネジメント部グループリーダーの服部文彦氏は4月25日,プレス向け説明会において,同社のセキュリティへの取り組みを説明した。「セキュリティに関する規則(セキュリティ・ポリシー)を全ユーザーに周知徹底させることが重要だ」(同氏)

 「どのプロバイダも『わが社はセキュリティに力を入れています』とは言うが,どのように取り組んでいるのかについては“ブラック・ボックス”であることがほとんど。わが社ではきちんと説明したい」(コーポレート・コミュニケーションズ部 広報 上瀧和子氏)というのが,この説明会の趣旨である。

 同社では,以前からセキュリティに力を入れていたが,個々の管理者のスキルに依存する運用体制だった。管理者によってスキルが異なるため,社内サーバーなどのセキュリティ・レベルはまちまちだった。セキュリティ・レベルが低いサーバーも存在した。2年ほど前のあるとき,そのようなサーバーに不正侵入されたような痕跡が見つかった。

 詳細に調査した結果,実際に被害は受けていないことが確認されたが,それを契機に,社内の運用体制を見直すことにした。社内のセキュリティ・レベルを底上げした上で,均一化することに努めたのである。「個々のサーバーのセキュリティ・レベルをいくら高めても,一台でもセキュリティ・レベルが低いサーバーがあると,ネットワーク全体が被害を受ける恐れがある」(服部氏)

 具体的には,サーバーで使用しているソフトウエアのセキュリティ情報をデータベース化して,社内の全管理者が共有できるようにした。さらに,セキュリティ・ホールなどへの対応状況をトラッキングできるようにした。これらを実施することで,個々の管理者のスキルに依存することはなくなった。

 しかし,これだけでは不十分だった。「サーバーなどのセキュリティ・レベルを高めても,個々のユーザー(社員)にセキュリティ違反を起こさせない,起こす気にさせないようにしなければ,全社的なセキュリティ・レベルは向上しない」(服部氏)

 そこで,セキュリティ違反をすると,懲罰の対象になることを職務規定に盛り込んだり,サーバーなどにアクセスしたユーザーを特定できるシステム構成に変更したりした。ログもきちんと管理し,アカウント管理も厳密に実施するようにした。

 しかし,これでもまだ不十分だった。何がセキュリティ違反に該当するのか,セキュリティを維持するために何をすべきかなどを,きちんとユーザーに周知させなければ意味がない。「全ユーザーにセキュリティに関する規則を周知させて守らせること,すなわちユーザー教育が大変だった」(服部氏)。まず苦労したのが,分かりやすい規則を作ることだった。同社にはセキュリティ専門のスタッフがいるので,いくらでも細かい規則を作ることはできる。しかし,「分厚いマニュアルを作っても読んでもらえない。できるだけ分かりやすくする必要があった」(服部氏)

 次に問題になったのは,いかに周知させるかだった。イントラネットの電子掲示板などでセキュリティ・ポリシーを公開している企業は多い。同社もイントラネットの電子掲示板を運用している。しかし,すべてのユーザーが電子掲示板を毎日見ているわけではない。そこで,廊下などに設置した,“本物の”掲示板に掲示することにしたのである。具体的には,「スクリーン・セーバーにはパスワードを設定し,『待ち時間』は5分にする」,「メールを開いたまま席を離れない」――などの規則を張り出した。「“原始的な”方法ではあるが,すべてのユーザーの目にとまる,効果的な方法だ」(服部氏)

 さらに,社内で作成したコンテンツを使ったeラーニングや勉強会を実施している。同社は2003年3月に,情報セキュリティ管理認証「BS7799-2:2002(2002年版BS7799-2)」と「ISMS適合性評価制度」を取得した。それらを取得した際,同社のセキュリティ教育などは審査員に高い評価を受けたという。

(勝村 幸博=IT Pro)