日本のサイバーセキュリティ事情が改善しない遠因、基礎知識すら学ばない社会人

無料メルマガ登録でプレゼント！書籍「セキュリティ対策の基礎知識」

以前のコラムで、IoT機器の無差別調査が必要となった背景に、”販売者側の問題もあったのではないか”と触れさせていただきました。

IoT機器の無差別調査で詐欺が増える？利便性を煽りリスク対策を軽視したツケの行く末は

2019.1.28

2019年1月25日、「国立研究開発法人情報通信研究機構法附則第8条第2項に規定する業務の実施に関する計画」という名称の計画について認可が下りました。この名前だけだと何のことやらわかりませんが、かなり重い意味を持つ計画です。今回は、

今回は、日本のサイバーセキュリティ事情がなかなか改善しない遠因について述べていきたいと思います。（こちらの方が深刻だと思うのですが…）

この記事の目次

1 「インターネットを使える」とはどういうことか
2 「車を運転できる」とはどういうことか
3 “安全に使えるかどうか”を確認すべき
4 ゴーカートで公道を運転するようなもの
5 日本は「仕事で必要なのに」学ばない
6 リーダーが率先垂範せよ

「インターネットを使える」とはどういうことか

「あなたはインターネットを使えますか？」こう質問されたら、桜田大臣でもない限り、ほとんどの方が「使えます」と答えるでしょう。でも、本当に使えますか？

例えば、「Excelを使えますか？」という問いがあったとしたら、中小企業ではSUM機能からグラフ作成ができるくらいで「使える」と言って良いでしょうし、IT企業であれば、最低でも関数、あるいはマクロまでできて「使える」でしょう。

「使える」とは、”その組織や社会が期待している水準まで達しているかどうか”なのです。本当は主観で判断することではありません。

「車を運転できる」とはどういうことか

40代以上の方であれば、就職活動に合わせ、普通自動車免許を取得した方も多いと思います。私も仕事で必要となる可能性が高いので、大学4年のときに普通自動車免許を取りました。公共交通網の発達した都会では、もう仕事で普通自動車免許は必須ではないでしょうが、地方ではまだ必要でしょう。

“仕事で必要だから”教習所に通い、道路標識を覚え、内輪差などのリスクを学び、普通自動車免許を取得して、安全に運転できるようになりました。安全運転ができないと、周囲を巻き込んだ事故を起こし、被害者だけでなく会社にも迷惑をかけてしまうかも知れません。履歴書の資格欄には「普通自動車免許」を書きましたし、面接でも、面接官の方は、ペーパードライバーでないか確認のためなのでしょう、「どのくらい運転してますか？」と問われました。

普通自動車免許を持っていて、安全運転ができることが、企業にとっての「車を運転ができる」という基準だったのです。

“安全に使えるかどうか”を確認すべき

こう考えればインターネットも同じですね。「安全にインターネットを使える」ことが「インターネットを使える」ということのはずです。ウィルス感染や情報漏洩など起こしたら、周囲を巻き込む大事件になりかねませんから。

企業としては「安全にインターネットを使えること」を、人事採用で確認するのは本来当然だと言えるでしょう。

さて、ここでもう一度問います。あなたはインターネットを使えますか？

ゴーカートで公道を運転するようなもの

もうお分かりですね。多くの方の「インターネットを使える」は、本来仕事で要求される「安全に使える」ことを満たしておりません。

社内LANであれば、自分の敷地内と同じですから、それでも良いでしょう。しかし、インターネットは世界に繋がる公道のようなもの。安全に使うための知識を持たずにインターネットを利用することは、例えて言えばゴーカートで公道を走っているようなもの。少なくともドライバーの国際免許を確認しているマリカーよりも酷い行為なのです。

安全に使用ができない人ばかりの組織で何が起こるか

それなのに、システム担当者に「セキュリティ事故の無いようにしろ」って言われても、担当者は困ってしまいます。仕方がないので、プロキシで安全なサイトにしか見れないようにしたり、PCはユーザー権限のみを渡して勝手にアプリのインストールやダウンロードをさせないようにします。

すると「これでは効率的な仕事ができない」と現場から文句が出て来ます。でも、安全にインターネットを使えない人に、管理者権限は渡せないですよね。この現場の主張は例えるなら、ゴーカートしか乗ったことのない人が「高速道路の制限速度を守らせるな。300kmで走らせろ。」と言うようなものなのです。

個人のレベルが低い状態でセキュリティ確保は不可能

このような状況であっても、組織の上の方々は”問題の本質”を理解しようとしないため「効率的に仕事できるように自由にやらせろ。でもセキュリティは確保しろ。」などというのです。これは、社内SEにとって”自動運転車を作れ”と言われているに等しいくらいに困難なことです。自動運転車なんて、TOYOTAだってGoogleだってできていないのに…

このような組織では、セキュリティ事故が起こるのは当たり前。起きていないとしたら、”たまたま”か、或いは起きているのに気づいていないだけかも知れません。