クラブ週報

１か月ほど前に会社で役員部長向けの情報セキュリティ研修がありましたので今日はそれについて、お話をしたいと思います。内容的には、サイバー攻撃等の最新情報とインシデント発生時の判断や責任についてものです。
昨今、病院へのサイバー攻撃で長期間診療できなかったり、港のシステムがサイバー攻撃に会い、荷物の積み下ろしが出来なかったり、ラインヤフーでは、顧客の個人情報が流出したりと、社会生活に影響のある事件が多数起こっています。それがどんどん巧妙化しています。この講座では、情報セキュリティ対策は、「機密性」「完全性」「可用性」の３点を維持することが、大切ということです。機密性とは、ある情報に対して、アクセスを認められている人だけがその情報にアクセスできるようにすること。つまりは、適切な場所にファイルを保管する。完全性とは、情報が、破壊、改ざん、消去されないよう保つこと。つまり、作成者の許可なくして、削除や編集をしない。可用性とは、ある情報に対して、アクセスを認められている人が情報を利用したいときに利用できるようにすること。つまり、共有ファイルを勝手に移動、削除しないこと。講習では、この３点を維持することの大切さを強調していました。また、どのような脅威があるのかというと意図的脅威、偶発的脅威、環境的脅威の３点を挙げていました。意図的脅威とは、悪意を持った人が意図的に引き起こす脅威として、サイバー攻撃やデータ改ざん、盗難、盗聴などです。偶発的脅威とは、意図せずに偶発的に生まれた脅威として、人為的なミス例えば、紛失、送付先間違え、設定ミス、運用ミス、機器の誤作動などです。環境的脅威は、天災や停電、静電気による機能不全です。いずれにしても、これらが起こると、損害賠償や信用失墜、業務停止につながりかねません。企業として、守るべき情報としては、個人情報（顧客情報・人事情報など）、経営情報（財務情報・会社の重要施策など）、その他会社が認めた情報などです。会社にどのような情報が存在し、漏洩した場合の影響度で、ランク分け等をしておくことをお勧めします。いずれにしても漏洩した場合会社全体に影響を及ぼします。長くなりますので続きは次回にご報告します。