2019.02.12星野靖裕FacebookTwitterはてブ以前のコラムで、IoT機器の無差別調査が必要となった背景に、"販売者側の問題もあったのではないか"と触れさせていただきました。8条第2項に規定する業務の実施に関する計画」という名称の計画について認可が下りました。この名前だけだと何のことやらわかりませんが、かなり重い意味を持つ計画です。今回は、この計画認可が持つ意味を考察していきたいと思います。参照国立研究...今回は、日本のサイバーセキュリティ事情がなかなか改善しない遠因について述べていきたいと思います。リーダーが率先垂範せよ「インターネットを使える」とはどういうことか「あなたはインターネットを使えますか?」こう質問されたら、桜田大臣でもない限り、ほとんどの方が「使えます」と答えるでしょう。本当に使えますか?例えば、「Excelを使えますか?」という問いがあったとしたら、中小企業ではSUM機能からグラフ作成ができるくらいで「使える」と言って良いでしょうし、IT企業であれば、最低でも関数、あるいはマクロまでできて「使える」でしょう。「使える」とは、"その組織や社会が期待している水準まで達しているかどうか"なのです。本当は主観で判断することではありません。「車を運転できる」とはどういうことか40代以上の方であれば、就職活動に合わせ、普通自動車免許を取得した方も多いと思います。私も仕事で必要となる可能性が高いので、大学4年のときに普通自動車免許を取りました。公共交通網の発達した都会では、もう仕事で普通自動車免許は必須ではないでしょうが、地方ではまだ必要でしょう。"仕事で必要だから"教習所に通い、道路標識を覚え、内輪差などのリスクを学び、普通自動車免許を取得して、安全に運転できるようになりました。安全運転ができないと、周囲を巻き込んだ事故を起こし、被害者だけでなく会社にも迷惑をかけてしまうかも知れません。書きましたし、面接でも、面接官の方は、ペーパードライバーでないか確認のためなのでしょう、「どのくらい運転してますか?」と問われました。普通自動車免許を持っていて、安全運転ができることが、企業にとっての「車を運転ができる」という基準だったのです。"安全に使えるかどうか"を確認すべきこう考えればインターネットも同じですね。「安全にインターネットを使える」ことが「インターネットを使える」ということのはずです。ウィルス感染や情報漏洩など起こしたら、周囲を巻き込む大事件になりかねませんから。企業としては「安全にインターネットを使えること」を、人事採用で確認するのは本来当然だと言えるでしょう。ここでもう一度問います。あなたはインターネットを使えますか?ゴーカートで公道を運転するようなものもうお分かりですね。多くの方の「インターネットを使える」は、本来仕事で要求される「安全に使える」ことを満たしておりません。社内LANであれば、自分の敷地内と同じですから、それでも良いでしょう。インターネットは世界に繋がる公道のようなもの。安全に使うための知識を持たずにインターネットを利用することは、例えて言えばゴーカートで公道を走っているようなもの。少なくともドライバーの国際免許を確認しているマリカーよりも酷い行為なのです。安全に使用ができない人ばかりの組織で何が起こるかそれなのに、システム担当者に「セキュリティ事故の無いようにしろ」って言われても、担当者は困ってしまいます。仕方がないので、プロキシで安全なサイトにしか見れないようにしたり、PCはユーザー権限のみを渡して勝手にアプリのインストールやダウンロードをさせないようにします。すると「これでは効率的な仕事ができない」と現場から文句が出て来ます。安全にインターネットを使えない人に、管理者権限は渡せないですよね。この現場の主張は例えるなら、ゴーカートしか乗ったことのない人が「高速道路の制限速度を守らせるな。300kmで走らせろ。」と言うようなものなのです。個人のレベルが低い状態でセキュリティ確保は不可能このような状況であっても、組織の上の方々は"問題の本質"を理解しようとしないため「効率的に仕事できるように自由にやらせろ。セキュリティは確保しろ。これは、社内SEにとって"自動運転車を作れ"と言われているに等しいくらいに困難なことです。自動運転車なんて、TOYOTAだってGoogleだってできていないのに...このような組織では、セキュリティ事故が起こるのは当たり前。起きていないとしたら、"たまたま"か、或いは起きているのに気づいていないだけかも知れません。日本は「仕事で必要なのに」学ばない車も運転してネットワーク構築もやっている私に言わせれば、"安全運転"より"安全にネットを使うこと"の方が、余程覚えることも必要な技能も少ないと思うのです。それなのに「IT」というだけで、自分で理解しようとせず、SE任せにしてしまう人が多いんですよね。「仕事で必要だから」普通自動車免許を取る人が、「仕事で必要なのに」安全なインターネット利用の基礎知識を学ばない。横文字が苦手という方もいますが、ハイドロプレーニング現象が理解できるなら、バッファオーバーフローくらい理解できるでしょう。仕事で使うのですから、インターネットの仕組みや、リスク、最近のサイバー攻撃状況などは知っておくべきです。リーダーが率先垂範せよこのように考えると、日本のセキュリティ事情が好転しないのも、SEが疲労困憊になるのも当たり前だと感じますね。それでもこれを何とか改善していく必要があります。こと、桜田大臣がこう宣言してはどうでしょう。サイバーセキュリティ担当大臣として、東京オリパラ大臣として、仕事に必要な知識が不足しておりました。認識を改め、勉強してまいります。皆さまも是非、特に経営者の方々は、安全にインターネットを使うための知識を学んでください。桜田大臣が勉強しようとするなら、社会人として後れを取るわけには行かない、と認識するのではないでしょうか。桜田大臣としても名誉挽回の機会になると思うのですが。サイバーセキュリティ担当大臣の発言に潜む「真の問題点」とは2018.11.26ここのところ、サイバーセキュリティ関連の話題といえば「PC使いません」と発言をしたサイバーセキュリティ担当大臣のことでしょう。サイバーセキュリティ対策の責任者が、USBさえも知らないレベルで日本は大丈夫なのか。海外からも心配されています。今回はこの件について考察していきたいと思います。視点を備え、効果的なマネジメントシステムの構築を指導。人員一桁から数千人の一部上場企業まで幅広くコンサルティングを行う。セキュリティ情報を伝えるべく日々奮闘中プロフィールはこちら事務局からのお知らせ当サイト掲載コンテンツの二次利用について2019.08.07当サイトコラムニスト星野靖裕さんが東京新聞に取材されました。資料請求リストに製品がありません。