情報漏えいとその対策について

　こんにちは、丸山満彦です。情報漏えい事件がいろいろと話題になっておりますが、情報漏えいについて、あらためて基本的なことを考えてみましょう。

　
１．ルールが悪いのか運用が悪いのか
　内部統制でいうところの整備状況の不備と運用状況の不備という問題です。リスクを完全に０にすることはできませんので、残余リスクが残るのは仕方がないことです。ただ、その残余リスクというのは組織が許容できると判断したレベルに抑える必要があります。情報漏えい等が生じた場合は、整備状況、つまり設計と導入の問題なのか、運用上の問題なのかを峻別して考えることが必要です。
　残余リスクの見誤り、対策強度の設計上の見誤りで完全に運用できていたとしても残余リスクが想定しているレベルよりも実際は高くなっていたのであれば、それは整備状況の問題ですから、ルールを改訂することが必要になります。
　一方、整備状況は正しくても、正しく運用がされていないために情報漏えい等がおこったのであれば、それは運用の問題ですから、正しく運用ができるようにする対策が必要となります（運用が正しくできるようにルールを変えることも含みます）。自己点検等の現場での運用状況の確認が重要となります。平時には自己点検なんて面倒なことと考えられがちですが、日ごろの積み重ねの一つ一つが重要であることは危機になって初めてわかることだと思います。

２．ミスが原因か不正が原因か
　ミスが原因の場合は、そのミスが生じた理由を考える必要があります。ルールが誤っていたのか、ルールが守れない状況になっていたのかを分析する必要があります。これには、いわゆる失敗学でいわれているような分析が有効でしょう。ミスを減らすためには、ミスに向き合って、ひとつひとつミスの原因を分析し、再発防止策を検討する必要があります。多くの場合は、予防的な対策が有効となります。地道な作業ですが、これを繰り返しやっていくしかありません。本当に地道な作業で、あまりにも地道なので、途中でくじけてしまいそうになってしまうでしょうが、やっていくしか方法はありません。
　不正については、予防的な対策だけでは防ぎきれません。予防的な対策で不正ができない環境をつくることが重要ではありますが、不正を発見し、発見できることを周知させることによる抑止効果も合わせて検討する必要があります。ログの分析は必要です。そのためには、ログをとっていること、分析できる環境を整備しておく必要があります。コンピュータ上の不正を発見するためには、なりすましのリスクも考慮する必要があり、IDの登録、認証がシステム全体でできるような仕組が必要となります。

３．監査はどこまで有効か
　不正がおこったら必ず「監査はどうなっていたのか」と文句をいったり、「監査を強化します。」という外部向けのコメントを発表する場合が多いですが、監査の効果はないとは言いませんが、限定的です。特に外部者の人による監査の有効性はそれほど高くはありません（相当なコストをかければそれなりに有効ですが。）
　まず、「監査ほうどうなっていたのか」という文句がでる場合が多いのですが、監査は内部統制の有効性を評価するものであり、通常は直接不正を発見するものではありません。もちろん、重要な不正が行われていないことを確認する必要がありますが、平時には単なるコストとみられてしまうために十分なリソース（人、カネ、モノ）が割かれていないのが現実ですから、形だけ監査をやっているというケースも多いのではないでしょうか？
　次に「監査を強化します」というコメントについてです。監査を強化するよりも、まずはそれ以前の統制活動等の強化が重要となります。まずは、自己点検をして、運用状況の課題、整備状況の課題をあぶり出して、課題の整理をすることが必要です。

　書きたいことはいろいろとありますが、このくらいで。。。