セキュリティ（Security）

セキュリティ（Security）とは、情報や機器を、盗まれたり、書き換えられたり、使えなくされたりすることから守る取り組み全般のことです。IT分野では「情報セキュリティ」とも呼ばれ、技術的な対策だけでなく、決まりごとや人の心がけまでを含む幅広い言葉として使われます。

現実世界に例えると、セキュリティは建物の防犯のようなものです。鍵をかけるだけでは足りず、誰に鍵を渡すかを決め、大切なものは金庫にしまい、万一に備えて保険にも入る。いくつもの備えを重ねることで、初めて成り立ちます。

守るべき三つの柱

この三つは頭文字を取って「CIA」とも呼ばれ、情報セキュリティを考えるときの出発点とされています。

セキュリティというと情報漏えいばかりが注目されますが、それは三本柱のうちの一つにすぎません。データが壊れて業務が続けられなくなることや、システムが止まってサービスが提供できなくなることも、同じくらい深刻な被害です。

代表的なものに、端末に忍び込んで悪さをするマルウェア、正規の利用者になりすます不正アクセス、偽の画面へ誘導して情報を入力させるフィッシングなどがあります。近年はデータを暗号化して身代金を要求する手口が、企業に深刻な被害を与えています。

実際に起きている事故を見ると、外部からの攻撃だけが原因ではありません。メールの誤送信、書類や端末の紛失、退職者による持ち出しといった、人に関わる事案が相当な割合を占めます。仕組みだけを固めても、この部分は防ぎきれません。

だからこそ、対策は三方向から組み立てます。機器や仕組みによる技術的な対策、規程や手順を定める組織的な対策、そして教育や周知による人的な対策です。どれか一つに偏ると、そこから抜け穴が生まれます。

どれだけ手を尽くしても、危険をゼロにはできません。そのため実務では、被害をどこまで許容するかを決め、限られた予算をどこへ振り向けるかを判断していくという考え方が取られます。守りを固めすぎて業務が回らなくなっては本末転倒です。

難しいことばかりではありません。更新プログラムを速やかに当てる、使い回さないパスワードを使う、確認の手順をもう一段増やす、大切なデータの控えを取っておく。この四つを守るだけで、被害に遭う確率は大きく下がります。

防ぐ努力と同じくらい大切なのが、起きてしまったときに、誰に連絡し、どう調べ、どう復旧するかを先に決めておくことです。慌てて対応した結果、原因を追う手がかりを消してしまう例もあります。備えは、事故の後まで含めて考えるものです。