１．ITセキュリティに対する経営者の誤解

コンピュータウイルス、ネットワーク詐欺、情報漏えい等の事件が新聞を賑わしています。しかし、ほとんどの中小企業では「対岸の火事」と言わんばかりに他人事です。そして、ITセキュリティに関して、多くの経営者が誤解をしています。

(1) 誤解その１：当社には盗まれて困る情報はない

例えそうだとしても、不正アクセスを試みる犯罪者は、あなたの会社の情報を狙っているわけではありません。標的の企業や組織に直接攻撃を仕掛けると「足がつく」ため、隠れ蓑となるアジトを物色するためにやって来るのです。そのため、結果的にセキュリティの弱い中小企業や個人が狙われ、攻撃の「踏み台」とされます。
ある日突然、大企業などから「あなたの会社から攻撃された。証拠もそろっている。損害賠償してほしい」と、驚愕の事実を突きつけられるのです。まさに寝耳に水。気づかなかった、何の記録もとってなかったでは済まされません。これだけネットワークが発達した世の中で、何ら対策を講じていなければ「自己責任」を問われるのは当然です。「被害者＝加害者」の図式が描けるのは、コンピュータウイルスだけではありません。

(2) 誤解その２：セキュリティはコンピュータに詳しい者に任せればいい

泥棒や雨風からお金や大切なものを守るために、金庫を置こうとか、保険をかけようとか、専門家のアドバイスを仰ぎつつも、最終的には経営者自ら決断しているはずです。
ITセキュリティも全く同じで、単に「技術」的問題ではなく、危機対策であり、経営的課題として捉えなければなりません。これは何らかの事故・事件があった時によくわかります。
情報漏えいなどの事件が発覚した時、直後の経営者の対応によって信頼回復できるか、それともされに信用失墜となるかが分かれます。2004年の事件で言えば、前者の典型例がジャパネットタカタ、後者がヤフーBBというところでしょう。ちなみにジャパネットたかたでは事件後、社長自ら情報セキュリティ最高責任者となり、安全で強固なセキュリティ環境実現を図る、と宣言しています。

２．経営的視点が欠かせないITセキュリティ

2-1. 情報セキュリティポリシーを策定しよう

これからは企業としてどのように取り組んでいくか、経営者の姿勢や方針を内外にきちんと示すことが重要です。ウイルスメールを送るなど取引先の迷惑になることをしない、もしくは顧客情報や技術ノウハウの流出を防ぐ等々、自社にとって重要なことが何かを経営者自身が考え、結論を出します。それを「情報セキュリティポリシー」として、わかりやすいことばでまとめ、掲げましょう。つまり、セキュリティポリシーによって、企業としてのITセキュリティに対する取り組み姿勢や考え方がわかるようにします。
一般的に表に示した内容を盛り込めばよいと言われていますが、記載の順番も含め、絶対的なものはなく自由に構成できます。

2-2. 形式よりも実質的な周知徹底

しかし、「形」を整えることよりもずっと大切なのは、社内の全員にセキュリティポリシーが周知徹底され、だれもがそれに基づいた行動を起こせるようになることです。根付いてこそ、意義があります。
たくさんの会社や団体がWeb上で自社ポリシーを公開しているので、それを参考にするのはかまいませんが、あくまで自社の姿勢がよくわかり、実行に移せることを第一義としてください。

2-3. 具体的行動に結びつく「マニュアル」

セキュリティポリシーは、その性格上、理念的な表現になりがちですが、ポリシーに則って、具体的な行動が起こせる「マニュアル」を作成しましょう。例えば「出社から退社までに守ること」という具合に、全員が守るべきルールを箇条書きにし、その中にITセキュリティも含めればいいでしょう。

最小限のルールを決めて、全員がきちんと行動に結びつけられるようにしましょう。

2-4. 規定・誓約書で精神的な「縛り」を

セキュリティは各個人の「意識」にゆだねられる部分が最も多く、大手企業では監視用のソフトを入れたり、アクセス記録をとることによって、抑止力を高めていますが、中小企業では金銭的、運用的に難しいでしょう。
そこで、ほとんどお金をかけず、一定の抑制力を期待できるのが「誓約書」です。「不正使用しないことを誓います」という旨の誓約書を配布し、記名捺印してもらいます。
社員の不正の多くは辞めた後に発覚します。誓約書内に「重大な損害を与えた場合は、退職後もその賠償の責を負う」という条項を入れておけば、就業規則では縛れない退職後についても補えます。

３．受注獲得にもITセキュリティは必須に

政府のかけ声の下、急速に電子商取引の波が押し寄せてきました。ネットワーク時代に対応できなければ売上増はおろか、社会から取り残されていきます。電子入札などでは、ウイルスチェックがしっかり実施されているといった、一定のITセキュリティ要件を満たさなければ参加できないものもあります。今までITセキュリティを強化しても「経営のプラスにならない」という声をたくさん聞いてきましたが、これからは全く異なります。ITセキュリティの強化は、経営の必須課題となりつつあります。