オッサンとバイエル、ピアノ等コンテンツへスキップオッサンとバイエル、ピアノ等コッチへ引っ越した。JSTネタの中に一掬(いっきく)の真実を混入して書いてみよう。「会社や事業所の公用パソコンを私用に使うことを認めれば、情報セキュリティが弱くなるように見えて、実は強くなる部分もあるのではなかろうか?」という、公私混同を奨励しかねない馬鹿々々しい着想を得たのだ。以下、陳者(のぶれば)。「情報セキュリティは『C・I・A』だ」と巷間(こうかん)よく言われる。「Confidentiality(機密性)」「Integrity(完全性)」「Availability(可用性)」の略である。27000」というものがある。vocabulary......と、随分長ったらしい。(JISC)のサイトで検索すると閲覧できる。27000」を入力して検索するのが手っ取り早い。27000」を翻訳し、僅(わず)かな部分を削除したものだ。27000」と言ってピンと来ない向きも、「ほら、『ISMS』のことだよ」と言うとパッと合点(がてん)がいくだろう。情報セキュリティ」という項目に、情報セキュリティとは何か、という用語の定義としてこの「C・I・A」が記されている。曰く、情報セキュリティとは、「情報の機密性,完全性及び可用性を維持すること」である、と。この「C・I・A」についてはよく言われるし、情報セキュリティの勉強などしている者なら誰でも諳(そら)んじているものだ。ところで、この「C・I・A」には、実は忘れられがちな「付け足し」がある。前に揚げた用語の定義の後半に、次のように書かれているのだ。,『真正性』,『責任追跡性,否認防止』,『信頼性』などの特性を維持することを含めることもある。いう風に翻訳し、ルール化等している場合がある。この「付け足し」、すなわち「注記」部分が実に味わい深い。この記事の着想の肝がこれである。可用性」という情報セキュリティの三つの主要素は、すべて目的指向である。目的を達成するためこれを支える「手段」を指向している。実際にどのようなことかを具体的かつ端的に言えとならば、例えば、利用者に固有のユーザIDとパスワードを必ず行使させる、ということなどがそれだ。「X月X日XX時XX分XX.XXX秒に事務所の端末からログインし、許可されざるバイナリを外部メディアからコピーしたる何某(ナニガシ)、これにより今般(こんぱん)端無(はしな)くもウィルスをバラ撒(ま)き、剰(あまつさ)えこれを因とする情報漏洩インシデントを惹起せしめ、会社に損害を与えたる段、誠に以(も)って不届至極(ふとどきしごく)。よって切腹申し付くるもの也。その方のIDは、決して他人が行使することができない状態にあったことは、かくかくしかじか、これこれこうこうをもって技術上明らか!申し開きなど致すまいぞ、神妙にせい」......という状態になっている、ということだ。それがまた、情報セキュリティ上の不手際な使用を利用者にさせないための冷厳な抑止力にもなる。この抑止力は「C・I・A」を支える手段となる。「ユーザIDとパスワード」という、古くからある識別認証手段は、単純でコストが安いという大きな利点がある反面、それを適正に行使させるには、「ルールで利用者を縛り、ルールを守るという『人力』でシステム運用をするしかない」という欠点がある。社則や規則に「ユーザIDとパスワードは自分で管理し、特にパスワードは他人に漏らさないようにして、机の裏に付箋なんかで貼っておいちゃダメ」と書いておき、社員はそれを守る、という方式になってしまうのだ。この方式では、ルールを破る奴がいると、そこで識別認証の仕組み全体がまったくグダグダにダメ化してしまうということである。多く見られることだが、ユーザIDやパスワードが「共用」になっていて、何人もの人が使いまわしていたり、個人IDになってはいても、それを貸し借りすることがある、などという場面もかつてはよくあった。今でも所によってはそんなシステム利用を漫然と続けている企業や事業所もあるだろう。私がかつて見た光景には、利用者は共用IDでログインするのだが、端末の前に記録簿があり、ログインの都度氏名と利用時間を記入捺印する、というのもあった。こんなの、記入をサボッてもバレないから、即、無意味である。「いや私は、現状でできるだけの、精一杯の管理の仕組みを整えたんです。記入をサボッた部下が悪いんですし、記入を徹底させられなかった中間管理職が悪いんです」と、後で言い訳をすることができるという意味なら、あることはあるのだが。単純な「ユーザID・パスワード」でなしに、認証トークンとかカードとか、生体認証などを導入すれば、こういう「ダメ化」への相当な解決にはなる。した色々なデバイスは運用できる寿命が短かったり、値段が高かったり、適合するOSやハードウェアに制限があったり、導入は簡単ではない。これら諸々(モロモロ)を沈思黙考するうち、ふと考え付いた。合理的で安くつくのは「ユーザIDとパスワードの適正な行使を、利用者がどうしても自ら守らざるを得ない」という状況を作り出すことなのではなかろうか。「自分のパスワードなど、死んだって他人になんか教えるもんかい!」と、利用者自身が必死になる状況だ。そのような状況とは、どういう状況か。「FacebookやTwitterなど、SNSのパスワードがバレると嫌だ。「2ちゃんに書いたあの誹謗中傷、実は俺!!」......などの、しょうもない理由だ。人によっては「浮気や性的嗜好などの、私行上の非行がバレるのが嫌だ」などという、オイオイオイおっさん大丈夫か系の秘密もあるだろう。女の人だったら、家族や恋人、あるいはスッピンとか変顔(ヘンがお)で写っている自分の写真データなどを見られるのが死ぬほど嫌だったり、もっと言えば乳だの胴だのの寸法とか体重、歳が明らかになるのなんて言語道断もってのほか、なんてのもあるかも知れない。どれもこれも実にクダラネェが、しかし個人にとっては喫緊(きっきん)の重大事である。クダラネェことばかりではない。病歴や犯歴など、シャレにならないプライバシーだってあるだろう。上例は多分に冗談を含むものの、ある意味、人の世の真実ではないかと思う。スノーデンだのウィキリークスだののキーワードを散りばめるまでもなく、国や大企業の秘密が暴かれてざまぁ見ろと人々は溜飲を下げ、反面、プライバシーがネット流出すると青筋立てて損害賠償騒ぎになる、というのが現代の偽らざる世相であることを、誰でもが認めざるを得まい。「天下国家の秘密なんかより俺の秘密」......なんである。いやまあ、これは人によるとは思うが。政治家や行政の首長(クビチョウ)さん、あるいは会社の経営者だったら逆に、「馬鹿野郎、俺の秘密なんかより天下国家の秘密にきまってンだろがボケッ!」と思うだろう。おき、しかし、BYODで、「半分私物」のPCを仕事で使っていたら、そりゃもう、利用者はユーザIDやパスワードを全力で隠すと思う。「俺の秘密が情報セキュリティの『人質』にとられている」......という、そういう状況を作為してやればよいではないか。会社や事業所のPCを私用に使わせましょう。私用メール、私用ネット閲覧、私用データ保存、バリバリ一緒くたに公私混同させちゃいましょう。すると、もう、みんな必死で自分の情報と一緒くたになった会社の情報を守ってくれますよ。パスワードなんか、絶対に机の裏に付箋で貼り付けて置いたりしないでしょうよ、恥ずかしいですからね、浮気とかエロ写真とかスッピン顔とか2ちゃんに書き込んだ罵詈雑言とか盛ってない方のホントの乳のサイズとか色々とバレちゃいますからね、ええ、ええ。27000」なんか持ち出す必要もなかったかなあ。途中から論がズコッ!っと音を立てて落っこちた気がする。キャンセル投稿を送信できませんでした。メールアドレスを確認してください。メール送信チェックに失敗しました。このブログではメールでの投稿共有はできません。%d人のブロガーが「いいね」をつけました。