ネタの中に一掬 ( いっきく )
「会社や事業所の公用パソコンを私用に使うことを認めれば、情報セキュリティが弱くなるように見えて、実は強くなる部分もあるのではなかろうか？」という、公私混同を奨励しかねない馬鹿々々しい着想を得たのだ。
以下、陳者 ( のぶれば )
「情報セキュリティは『C・I・A』だ」と巷間 ( こうかん ) C ( 機密性 ) I ( 完全性 ) A ( 可用性 )
この「C・I・A」なる見事な頭文字語 ( イニシャリズム )
「JIS Q 27000」の標題を全部記すと、
JIS Q 27000『情報技術―セキュリティ技術―情報セキュリティマネジメントシステム―用語 Information technology – Security techniques – Information security management systems – Overview and vocabulary
……と、随分長ったらしい。
ともあれ、この標題にある通り、「JIS Q 27000」は情報セキュリティに関する国定規格だ。日本工業標準調査会(JISC)のサイトで検索 すると閲覧できる。
(直リンクを張りたいところだが、ダウンロードや印刷を制限するためのスクリプティングが施してあり、リンクを張っても無効になるので、
検索ページ に「JIS Q 27000」を入力して検索するのが手っ取り早い。)
参考までに、この「JIS Q 27000」は「ISO/IEC 27000 」を翻訳し、僅 ( わず ) 合点 ( がてん )
曰く、情報セキュリティとは、「情報の機密性，完全性及び可用性を維持すること 」である、と。
この「C・I・A」についてはよく言われるし、情報セキュリティの勉強などしている者なら誰でも諳 ( そら )
ところで、この「C・I・A」には、実は忘れられがちな「付け足し」がある。前に揚げた用語の定義の後半に、次のように書かれているのだ。
「注記 さらに，『真正性』，『責任追跡性，否認防止』，『信頼性』などの特性を維持することを含めることもある。」
JISによる翻訳が成るよりも古い頃に、ISMSを直接翻訳する等して使用してきた企業や事業所などでは、この「真正性 Authenticity」 「責任追跡性，否認防止 Non-repudiation」 をそれぞれ「識別認証」 「否認防止」 という風に翻訳し、ルール化等している場合がある。
この「付け足し」、すなわち「注記」部分が実に味わい深い。この記事の着想の肝がこれである。
「C 機密性」「I 完全性」「A 可用性」という情報セキュリティの三つの主要素は、すべて目的指向である。ところが、場合によっては含めることとされている「注記」のいくつか、特に「真正性」「否認防止」は、目的を達成するためこれを支える「手段」を指向している。そうした手段指向の点でも、この付け足しは味わい深い。
「真正性」「否認防止」とは実際にどのようなことかを具体的かつ端的に言えとならば、例えば、利用者に固有のユーザIDとパスワードを必ず行使させる、ということなどがそれだ。つまり、
否認防止の図 「X月X日XX時XX分XX.XXX秒に事務所の端末からログインし、許可されざるバイナリを外部メディアからコピーしたる何某 ( ナニガシ ) 今般 ( こんぱん ) 端無 ( はしな ) 撒 ( ま ) 剰 ( あまつさ ) 以 ( も ) 不届至極 ( ふとどきしごく ) 切腹 申し付くるもの也。仍如件 ( よってくだんのごとし )
……という沙汰がはっきりと決定され、それを何某氏が
「いえ、私はそんなことはしていません、誰か知らない奴が私のIDを勝手に使ったんです、私じゃありません、そうでなければこれはシステムのバグ、そう、バグですよッ！！何卒穏便 ( なにとぞおんびん ) 寛恕 ( かんじょ ) 奉 ( たてまつ )
などと言い逃れることが全く不可能な状態、つまり、
「ええい、その方のデジタル署名がなされたアクセスがログに残されておるッ！！ しかも、その方のIDは、決して他人が行使することができない状態にあったことは、かくかくしかじか、これこれこうこうをもって技術上明らか！申し開きなど致すまいぞ、神妙にせい」
……という状態になっている、ということだ。
それがまた、情報セキュリティ上の不手際な使用を利用者にさせないための冷厳な抑止力にもなる。この抑止力は「C・I・A」を支える手段となる。
だが、「ユーザIDとパスワード」という、古くからある識別認証手段は、単純でコストが安いという大きな利点がある反面、それを適正に行使させるには、「ルールで利用者を縛り、ルールを守るという『人力』でシステム運用 をするしかない」という欠点がある。社則や規則に「ユーザIDとパスワードは自分で管理し、特にパスワードは他人に漏らさないようにして、机の裏に付箋なんかで貼っておいちゃダメ」と書いておき、社員はそれを守る、という方式になってしまうのだ。この方式では、ルールを破る奴がいると、そこで識別認証の仕組み全体がまったくグダグダにダメ化 してしまうということである。
多く見られることだが、ユーザIDやパスワードが「共用」になっていて、何人もの人が使いまわしていたり、個人IDになってはいても、それを貸し借りすることがある、などという場面もかつてはよくあった。今でも所によってはそんなシステム利用を漫然と続けている企業や事業所もあるだろう。私がかつて見た光景には、利用者は共用IDでログインするのだが、端末の前に記録簿があり、ログインの都度氏名と利用時間を記入捺印する、というのもあった。こんなの、記入をサボッてもバレない から、即、無意味である。まあ、その方式を採用した管理職が、
「いや私は、現状でできるだけの、精一杯の管理の仕組みを整えたんです。だから無罪です。記入をサボッた部下が悪い んですし、記入を徹底させられなかった中間管理職が悪いんです」
と、後で言い訳をすることができるという意味なら、あることはあるのだが。
もちろん、単純な「ユーザID・パスワード」でなしに、認証トークンとかカードとか、生体認証などを導入すれば、こういう「ダメ化」への相当な解決にはなる。しかし、こうした色々なデバイスは運用できる寿命が短かったり、値段が高かったり、適合するOSやハードウェアに制限があったり、導入は簡単ではない。
これら諸々 ( モロモロ )
合理的で安くつくのは「ユーザIDとパスワードの適正な行使を、利用者がどうしても自ら守らざるを得ない」という状況を作り出すことなのではなかろうか。「自分のパスワードなど、死んだって他人になんか教えるもんかい！」と、利用者自身が必死になる状況だ。
そのような状況とは、どういう状況か。
もし私が情報システム利用者で、自分のパスワードを上司にも同僚にも部下にも知られたくない、百歩譲って家族にも友人にも絶対知られたくない、自分以外の人間にユーザIDを行使されるなんて絶対嫌だ、……という理由があるとすれば、それは例えば
「他人に自分のお金 を使われてしまう」
「家族 などのプライバシーに関する情報が見られてしまう」
「ディレクトリの深いところにエロ写真 を隠している」
「ネットの変な閲覧履歴 を見られたくない」
「FacebookやTwitterなど、SNS のパスワードがバレると嫌だ。ライバル社員に俺の友達限定タイムラインを盗み見られてしまう」
「2ちゃん に書いたあの誹謗中傷、実は俺！！」
……などの、しょうもない理由 だ。人によっては「浮気や性的嗜好などの、私行上の非行がバレるのが嫌だ」 などという、オイオイオイおっさん大丈夫か 系の秘密もあるだろう。女の人だったら、家族や恋人、あるいはスッピンとか変顔 ( ヘンがお ) だったり、もっと言えば乳だの胴だのの寸法とか体重、歳が明らかになるのなんて言語道断もってのほか 、なんてのもあるかも知れない。
どれもこれも実にクダラネェが、しかし個人にとっては喫緊 ( きっきん ) 病歴 や犯歴 など、シャレにならないプライバシーだってあるだろう。
しかし、上例は多分に冗談を含むものの、ある意味、人の世の真実ではないかと思う。スノーデンだのウィキリークスだののキーワードを散りばめるまでもなく、国や大企業の秘密が暴かれてざまぁ見ろ と人々は溜飲を下げ、反面、プライバシーがネット流出すると青筋立てて損害賠償騒ぎ になる、というのが現代の偽らざる世相であることを、誰でもが認めざるを得まい。昔とは違う。
これを単純に表現すると、今日 ( きょう )
「天下国家の秘密なんかより俺の秘密」 ……なんである。
今はそんな世の中だ。いやまあ、これは人によるとは思うが。政治家や行政の首長 ( クビチョウ )
さておき、しかし、BYODで、「半分私物」のPCを仕事で使っていたら、そりゃもう、利用者はユーザIDやパスワードを全力で隠すと思う。恥ずかしいから。
そこで逆に、天下国家の秘密を隠すためには、「天下国家の秘密と俺の秘密」を綯 ( な ) 交 ( ま )
「俺の秘密が情報セキュリティの『人質』にとられている」 ……という、そういう状況を作為してやればよいではないか。
簡単だ。会社や事業所のPCを私用に使わせましょう。私用メール、私用ネット閲覧、私用データ保存、バリバリ一緒くたに公私混同させちゃいましょう。
そうすると、もう、みんな必死で自分の情報と一緒くたになった会社の情報を守ってくれますよ。パスワードなんか、絶対に机の裏に付箋で貼り付けて置いたりしないでしょうよ、恥ずかしいですからね、浮気 とかエロ写真 とかスッピン顔 とか2ちゃん に書き込んだ罵詈雑言 とか盛ってない方のホントの乳のサイズ とか色々とバレちゃいますからね、ええ、ええ。
……いやあ、こんなしょうもないこと書くのに、何も「JIS Q 27000」なんか持ち出す必要もなかったかなあ。途中から論がズコッ！っと音を立てて落っこちた気がする。うん。
