前回までは、情報セキュリティポリシーを構成する3階層（情報セキュリティ基本方針・情報セキュリティ対策基準・情報セキュリティ対策実施手順）について確認してきた。ポリシーは組織が「何を」「どこまで」守るかを定めるものであるが、それを実際に機能させるためには、具体的な対策へと落とし込む必要がある。今回からは、その具体策を「人的」「物理的」「技術的」の3分類に整理し、まずは人的セキュリティ対策を取り上げる。
情報セキュリティ対策の三分類
情報セキュリティ対策は、一般に次の3つに分類される。
- 人的セキュリティ対策：組織に属する人（従業者・委託先を含む）の意識や行動に働きかける対策
- 物理的セキュリティ対策：施設・設備・機器など、物理的な環境を守る対策
- 技術的セキュリティ対策：システムやネットワークに対して技術的な仕組みで守る対策
情報セキュリティ事故の多くは、技術的な欠陥だけでなく、人の不注意や誤操作、あるいは悪意ある内部者によって引き起こされる。そのため、人的対策は技術的対策と並んで重要な位置を占めており、試験でも頻出のテーマである。
人的セキュリティ対策とは
人的セキュリティ対策とは、従業者や委託先の要員が情報資産を適切に取り扱うよう、教育・契約・ルールの整備を通じて働きかける対策全般を指す。技術的な仕組みでは防ぎきれない「人が原因となるリスク」への対応が主眼となる。
代表的な人的セキュリティ対策には、以下のようなものがある。
1. 情報セキュリティ教育・訓練
従業者に対して、情報セキュリティポリシーの内容や、標的型攻撃メール・パスワード管理などの基本的な脅威と対処法を周知するための教育である。新入社員研修だけでなく、全従業者を対象とした定期的な教育（年1回程度）が推奨される。教育効果を高めるためには、一方的な講義形式だけでなく、標的型攻撃メール訓練のような実践的な演習を組み合わせることが有効とされる。
2. 雇用契約における秘密保持
従業者の採用時には、秘密保持契約（NDA：Non-Disclosure Agreement）を締結し、業務上知り得た情報を目的外に利用・開示しないことを取り決める。これは在職中だけでなく、退職後も一定期間効力が及ぶよう定めるのが一般的である。委託先に業務を委託する場合も同様に、委託契約に秘密保持条項を盛り込む必要がある。
3. 罰則規定の整備
情報セキュリティポリシーに違反した場合の懲戒規定を就業規則等に明記しておくことで、違反行為に対する抑止力とする。罰則があること自体を周知することも、教育の一環として重要である。
4. 職務分掌・権限の分離
一人の担当者に権限が集中すると、不正やミスが発見されにくくなる。重要な業務については、実行者と承認者を分ける、あるいは複数人でのチェック体制を敷くなど、職務分掌によって不正や誤りを牽制する仕組みが求められる。
5. ヒューマンエラー対策
人的セキュリティ対策には、悪意への対処だけでなく、単純な誤操作（メールの誤送信、USBメモリの紛失など）を減らすための工夫も含まれる。ダブルチェックの徹底、確認画面の表示、送信前の一時保留設定など、運用上のルール化が有効である。
試験対策ポイント
試験では、人的セキュリティ対策について、次のような観点で問われることが多い。
- 人的・物理的・技術的の3分類のうち、設問の対策がどれに該当するかを判断させる問題
- 「秘密保持契約は退職後にも効力が及ぶ」など、契約内容の適用範囲を問う問題
- 教育・訓練の目的や実施方法（標的型攻撃メール訓練など）に関する知識を問う問題
- ヒューマンエラーを技術的対策ではなく運用ルールで防ぐ、という発想を問う問題
特に、技術的な仕組みで解決できそうに見える事例が、実は人的対策（教育やルール整備）によって防ぐべき問題として出題されることがあるため、「原因が人にあるか、システムにあるか」を意識して分類する練習をしておくとよい。
まとめ
今回は、情報セキュリティ対策の3分類のうち「人的セキュリティ対策」を取り上げ、教育・訓練、秘密保持契約、罰則規定、職務分掌、ヒューマンエラー対策といった具体例を確認した。次回は、施設や機器そのものを守る「物理的セキュリティ対策」について取り上げる。
コメント