« ガンダムですよガンダム | トップページ | 賃上げ »

2006.04.23

セキュリティ対策

Pマーク取得するプロセスを目の前でみてたのですが(今月書類提出)、そんな関係で気になった記事。

セキュリティ対策はどこまで行えばいいのか - @IT情報マネジメント.

ISMSやプライバシーマークを取得することもセキュリティ対策の一種だが、それらを取得することだけでセキュリティ対策が完了するわけではない。

取得してみようと思って取り組んでみれば分かるが正直辛い。しかしISMSやPマークは確かに最低限のハードルであることも実感できる。

セキュリティ強化によってユーザの利便性が低下することが原因で、ユーザーから一斉反発を受けた。セキュリティが強化されると一般的に利便性は低下する。よってセキュリティを強化する上では、よほどの理由がない限り社内での支持は得られにくい。

セキュリティ対策を施して便利になる話など世の中には無いわけで、施せば絶対的に不便になるのは当たり前の話。諸手を挙げて歓迎する現場など何処にもありません。

経営会議で発表した。必須項目に関してはすぐに承認され、グレー項目に関しても各項目ごとに議論してもらい、いくつかが承認された。こうして経営陣からのお墨付きを得ることで、ユーザーからの反発の問題を解決することができた。

って、これって解決なんですか?単に反発を抑え込むのに経営陣を使っただけなのでは?お墨付きをもらった後に反発の問題へ取り組めるのであって、それは終わりではなく反発問題対策への始まりでしかないはず。

セキュリティ対策の最重要課題は現場が理解し推進することにあり道具やツールはその先。単純に経営陣を使って押さえ込むと結果として推進する際の障碍にしかなりません。現場に運用を求める限り明確な目標と理解が必要なのなのは、何もセキュリティの話だけに限らない。トップダウンで結果オーライなら良いが、セキュリティ対策は明らかに現場にメリットがなく負荷をかける行為なので、現場への啓蒙・理解・協力が必要。でなきゃ運用できません。

と、ここまで書いて気がついたのだけど「プライバシーマーク・ISMSを取得するだけで完了するわけではない。」って書いてあるよね・・・

あの~Pマーク・ISMSが取得出来てたらこの辺の話って済んでるかと。もしや、取得の経験ないのでは?完了するわけではないっていうなら、取得した先の話をしなきゃ駄目じゃん。「完了するわけでない」の一文がなきゃ、まぁ一般的なセキュリティ対策の話だと思うけど、「完了するわけでない」と振っておいてこれでは・・・

と言いながら、主導していた立場ではないで自分で書けないのは棚に上げておく。

|

« ガンダムですよガンダム | トップページ | 賃上げ »

開発」カテゴリの記事

コメント

こんにちは、sanonosaです。

ん~、今回の記事が難産だったのはどのように表現すればよいか悩みに悩んだというのがありまして。元記事、歯切れが悪いですよね。突っ込まれどころ満載。。。

一応ご返答させていただくとすると、

「Pマーク・ISMSが取得出来てたらこの辺の話って済んでるかと」・・・とありますが、今回の話しはPマーク・ISMS取得が趣旨ではなくて、「何のためにセキュリティ対策をするのかまずはゴールを決めよう」ということです。決められたゴールがひょっとしたらPマーク・ISMS取得かもしれないし、他のことかもしれないです。


「こうして経営陣からのお墨付きを得ることで、ユーザーからの反発の問題を解決することができた。・・・って、これって解決なんですか?」・・・とありますが、たしかにその通りですね。表現が悪かったです。ここの趣旨は「反発を抑え込むのに経営陣を使った」というのではなく、「代替案がない重要なセキュリティ問題に対して経営陣が二者択一の意思決定を行った」と解釈されるように記すべきでした。

投稿: sanonosa | 2006.04.24 11:43

コメントを書く



(ウェブ上には掲載しません)


コメントは記事投稿者が公開するまで表示されません。



トラックバック


この記事へのトラックバック一覧です: セキュリティ対策:

« ガンダムですよガンダム | トップページ | 賃上げ »