不正アクセス時代の会社の備え（後編）――情報は「守る」から「編集する」へ

情報は「守る」から「編集する」へ ――

不正アクセス時代の会社の備え（後編）

前編では、不正アクセスのニュースに不安ばかりが膨らむ理由を、「分類」という視点から考えました。そして、個人にできることは限られている、とも書きました。私たちは、自分の情報の多くを、自分では手の届かない場所に預けて暮らしているからです。

では、その情報を預かる側の会社は、何をすればいいのでしょうか。

大きな会社には、情報システムの部署や専門の担当者がいます。けれど、多くの中小企業では、そうした担当者を置く余裕はなく、経営者自身や、ほかの業務と兼ねる誰かが、手探りで対応しているのが実情ではないでしょうか。

顧客の名簿は、共有フォルダの表計算ファイルに入っている。いくつものネットのサービスに、同じメールアドレスとパスワードで登録している。辞めた社員のアカウントが、そのまま残っている。そんな会社も少なくないはずです。

そして、漏えいのニュースが続くと、不安になって「ドロップボックスもグーグルドライブも、すぐにやめよう」と考えてしまう。けれど、やめたところで、メールにファイルを添付して送り合ったり、USBメモリで持ち歩いたりと、かえって目の届かないやり方に戻るだけかもしれません。今回は、そうした会社の経営者に向けて書いてみたいと思います。

「閉じるか、開くか」では解けない


情報を守ろうとすると、多くの会社はまず「閉じる」ことを考えます。その反対に、便利さを優先して、つい「開いて」しまうこともあります。

けれど、つながっている世界で、すべてを閉じることはもうできません。かといって、開きっぱなしにしておけば、いつか必ず破られます。閉じるか、開くか。その二択だけでは、この問題は解けないのです。

法律も、実は細かな答えを用意してくれてはいません。個人情報保護法は、会社に「必要かつ適切な措置」を求めていますが、何をどこまでやればいいのかは、それぞれの会社が自分で考えるしかない。情報セキュリティの認証制度も、取得すること自体が目的になり、実際の情報の扱い方を見直すところまで手が回らなくなっては、本末転倒です。

経営に情報「編集」の視点を


そこで私が提案したいのは、情報を「守る」のではなく、「編集する」という考え方です。

編集とは、集め、分け、置き、流すことです。雑誌をつくるときに、どの記事を載せ、どの順に並べ、どこを大きく見せるかを決めるように、会社の情報にも、同じように設計が要ります。

一つめは、集めること。そもそも、その情報を集める必要があるのか。使い道のはっきりしない情報まで、とりあえず集めていないか。集めた情報は、持った瞬間から守る責任が生まれます。

二つめは、分けること。前編で書いたように、情報には、住所やメールアドレスのように広く渡っているものもあれば、パスワードや取引の中身のように、漏れれば実害に直結する「鍵」の情報もあります。すべてを同じように扱うのではなく、性質ごとに分けて考える。

三つめは、置くこと。分けた情報を、どこに置くのか。今回のGMOの件では、攻撃を受けたサービスの環境に、利用者の取引口座のログイン情報が保存されていました。重要な鍵の情報をどこに置き、誰がどう触れられるようにするのか。それは、情報システムの設計と経営判断が交わるところです。何を、どこに置くかは、倉庫のロケーションを決めるのと同じ、経営の意思なのです。

四つめは、流すこと。その情報を、誰に、どこまで渡すのか。社内の誰が触れられるのか。委託先や、利用しているサービスにはどこまで預けるのか。そして、流さない情報も決めておく。

器の持ち主と、中身の持ち主


物流の仕事では、荷主から預かる納品先の住所や連絡先が、日々システムの中を流れていきます。そこで私がいつも考えていたのは、「この情報は、誰のものか」ということでした。

システムという器を持っていることと、中身の持ち主であることは違います。誰の情報を、誰が何のために預かり、誰が守る責任を負うのか。そこをはっきりさせることが、情報を扱う出発点です。

情報は、持てば持つほど価値があるように見えて、実は持つこと自体が責任であり、リスクでもあります。だから、持つ必要のない情報は持たない。そして、持つべき者に、はっきり持たせる。

いま相次いでいる漏えいの多くは、委託先や利用しているサービスの中で起きています。誰の情報なのか、誰が守るのかがあいまいなまま、情報が溜まっていく。そこに、つながった世界の弱さがあるのだと思います。

　あえて「つながない」場所を持つ


もう一つ、編集の視点から大切だと思うのは、デジタルとアナログを組み合わせることです。

すべてをネットにつなぎ、すべてをデジタルに載せる必要はありません。ランサムウェアの被害から立ち直れるかどうかは、ネットワークから切り離したバックアップを持ち、それが実際に復元できることを確かめているかどうかで、大きく変わります。紙で残しておくもの、オフラインで保管するもの、人と人との対話で受け渡すもの。あえてつながない場所を持ち、それをいざという時に使える状態にしておくことが、事業を立て直す力になります。

前編で、個人の備えは「防ぐ・気づく・戻す」だと書きました。会社も同じです。完全に防ぐことはできない。だからこそ、戻せる仕組みを持っておくことが、何よりの備えになるのです。

　情報の流れは、信頼の流れ


情報が漏れたとき、会社が本当に失うのは、データそのものではありません。お客様や取引先との信頼です。

私たちが預かっている情報の奥には、「この会社なら大丈夫だろう」という相手の想いが流れています。情報を編集するということは、モノとしての情報を管理するだけではなく、その奥に流れている信頼を、どう扱うかを考えることでもあるのだと思います。

何を集め、どう分け、どこに置き、誰に流すのか。それを決めるのは、システムの担当者ではなく、経営者の仕事です。技術はプロに任せても、編集の判断は手放さない。そこに、これからの会社の備えの本当の姿があるのではないでしょうか。

情報の扱い方を、経営や業務の視点から整理したい方は、まずは現状をお聞かせください。情報の流れを一緒に洗い出し、何を集め、どう分け、誰に渡すのかを整理するところから、対話一緒します。初回のご相談は無料です。

■ 参考資料

お名前.com デスクトップクラウドに関するお知らせ（GMOインターネット）
https://www.onamae.com/news/article/11598