良介2009年9月2日(水曜日)1.はじめに本シリーズでは、数多くの情報セキュリティ・コンサルティング実績の中から、現状の情報セキュリティ対策を見直すことにより投資の最適化やコスト削減を実現できた事例について紹介しています。多くの企業の情報セキュリティに関する手順やルールには、「XXXの禁止」といった禁止ルールが数多く見受けられます。本事例では、禁止ルールが自社にとって合理的な対策であるかどうかを検証した事例を紹介します。3.本事例の背景サービス業のA社様では、数年前より個人情報保護に取り組んでおられます。その取り組みの一環として、ライバル企業と差別化を図るためプライバシーマークを取得しようと考えています。プライバシーマークを取得する際には、個人情報漏えいリスクを軽減するために安全管理措置の強化を検討しています。4.「禁止ルール」の弊害A社様では、安全管理措置の強化として「ノートパソコンの持ち出し禁止」ルールを検討しています。A社様の業務として顧客先での作業(資料作成や事務処理)を必要とするケースが多々あります。「ノートパソコンの持ち出し禁止」ルールを選択することにより、顧客先で作業を実施している作業員が自社に戻り作業を実施することになります。その結果、帰社するための移動時間が発生し、作業員のコストが増加します。弊社では、情報セキュリティに関する具体的な対策やルールを策定する際には、顧客の現状や業務を考慮し、合理的な対策を立案しています。今回のA社様の事例では、増加するコストや業務効率等を考慮し、以下の対策案を提示しました。年間ソフトウェア保守費用+管理コスト:200万円(80台×15万円)+(80ライセンス×2万円)+200万円=1,560万円A社様は、業務効率と安全性のバランスを勘案した結果、弊社推奨案を採用されました。6.おわりに禁止ルールを選択することにより、高い安全性を確保することができます。禁止ルールにより生産性や効率性が損なわれ、コストが増加するケースが多く見受けられます。世界経済状況が悪化する中、多くの企業では更なる効率化が求められています。これまでのように、安全性のみを優先して情報セキュリティ対策を選択するのでなく、生産性や効率性と安全性のバランスを考慮し、自社にとって最も合理的な対策を選択していく必要があります。次回は、「台帳管理」についてご紹介します。富士通総研の情報セキュリティコンサルティングは、お客様が持つ機密情報や個人情報、その他の情報の漏えいや改ざんなどのリスク対応について、情報セキュリティの全体最適化を図った企画立案を支援します。