人間の存在を前提としないセキュリティ対策は無意味なのです

ちょっと煽り系のタイトルになっていますけど、長年、情報セキュリティの啓蒙活動を行ってきた経験から見えてきたことの一つが「人間の存在」に目をつぶった情報セキュリティ対策って意味がないよねえという事なんですよ。情報セキュリティ事故の報道を見るたびに「この組織は全く教育をしていなかったのだろうか？」と思うんですよね。さすがに、今の時代に「従業員に対する情報セキュリティ教育を全く行っていない」組織は論外ですし、そんな組織はあり得ないと思っているんですけど…

セミナーを受講して見えてきたこと

以前から情報収集のために情報セキュリティに関するセミナーというものに参加してきて感じたことがありまして…

それは、基本的には「商品を買ってもらうことが前提」になっているセミナーが殆どなので、その商品を導入すれば「全て解決」的なトークが多いんですよね。まあ、営業活動の一環なので当然と言えば当然なのですが、その前提を忘れてしまっている方も少なくないという印象があります。それは公的機関が主催するセミナーでも同じ事が言えまして、ほぼ必ずセキュリティ商品のメーカーの方も登壇されるので、その部分は営業活動の一環であることを前提として話を聞かないと誤った理解をしてしまうことになります。

セキュリティツールの罠

情報セキュリティ対策を行う上で重要なのは「何を守り、何を守らない」のかという切り分けなのですが、そういう非常に大切な部分を無視して「ツールを入れれば安全」みたいに勘違いを招くような営業活動が横行した結果、せっかくツールを入れたのに機能がマッチしていなくて事故を防げなかったという事例が見られたりして驚いたことがありました。決して安くない金額を払っているのに機能しなかったというのは、中小企業にとっては経営に与えるインパクトを考えると非常に勿体ない話であります。

そのような「仏作って魂入れず」的な話って結構目にする事がありまして、例えば一時期の「EDR（Endpoint Detection and Response）ブーム」なんかもそうですし、「UTM（Unified Threat Management：統合脅威管理）ブーム」なんかもそうです。例えば前者の場合には「導入しただけでは機能せず、検知に対してのリアクションを人間がしなくてはならない」のですが、そこを適切に運用できる人材を確保できない結果として「単なる飾り」となっている話は多く聞きます。後者の場合は「機能を有効にすればするほどネットワークが遅くなってしまうのと料金がかさむ」ため、本来は有効にすべき機能を有効にせず「単なる箱」となっている話も聞いたりします。

本末転倒ですね。

大前提を忘れてませんか？

そして、そういうツールを入れれば安全と思い込んでしまう結果として、そもそもの「従業員に対する情報セキュリティ教育」を行わない中小企業も多い印象があります。そもそも、ツールを「入れたら安全ではない」んですよね。ツールは「適切に運用できたら安全に寄与する」なのです。その、適切に運用の中には「従業員に対する情報セキュリティ教育」を行うことも含まれます。それをサボってしまったら適切に運用できていない状態ですので、常にセキュリティリスクを抱えた上多になります。

人間が一番の脆弱性である

そして一番大事な前提があって、そもそも「人間の存在が一番の脆弱性」なんですよ。どんなにツールで固めても、そこに人間が介在してしまうと「ツールを回避してしまう」という「やってはいけないことをやってしまう」人が出てきてしまいますし、フィッシング詐欺やサポート詐欺に引っ掛かってしまうのは「人間」なんですよね。人間が頭で考えて「これはホンモノ」とか「これはニセモノ」とか不正確なラベリングをしてしまう結果、詐欺師の狙った通りに騙されてしまうわけです。

「インターネットを安全に使おう！〜詐欺から自分の身を守るには〜」講座を3年やってきて思うのは、セキュリティに関する知識は「一度習得したら一生もの」と思っている人が非常に多いことです。しかしながら現実はそうではなく、年々変わっていきますし、騙す側も巧妙さが増していきますので、極端に言えば「去年の常識は今年の非常識」くらいに変化してきます。それを知らずにいると、まんまと騙されるわけです。

常識のブラッシュアップを！

我々専門家のみならず、一般の方も「常識の変化に遅滞なくついていくことが大事」ですし、それをしなければ、どんな高性能・高機能なツールを入れても被害を抑えることは出来ません。限られた資金を有効活用し、効率的に対策をしていくためには「常識の変化を教育する」ことが大事なのです。