情報セキュリティを高めるために、今できること（情報セキュリティ7要素と情報セキュリティ教育）

総合研究部 上級研究員　永橋 洋典

本コラムは、企業を取り巻く情報セキュリティ関連の事故情報・時事情報・考察などを執筆者独自の視点で選択し、時流に合わせたもしくは先取りした有益な情報提供を目指します。

本稿は、執筆者が考える情報セキュリティ論をベースに展開していますので、現状の振り返りとしてご一読ください。

１．はじめに

本年に入ってからも個人情報漏洩、不正アクセス等の被害は後を絶ちません。個人情報漏洩事故では、本年5月12日にトヨタ自動車が215万人分の漏洩可能性を公表し3月31日株式会社NTTドコモが業務を委託している企業において、業務に使用しているパソコンから最大約529万件流出した可能性を公表しています。また（一社）日本クレジット協会からはクレジットカードの不正利用被害額の調査結果が発表され、年々被害額が増加し、2022年においては年間の被害額が400億円を超え436.7億円と過去最高額となりました。不正アクセスの発生状況も図1のように2200件と減少傾向からまた増加に転じました。

営業秘密侵害事件検挙数も2022年は29件と過去最大となり、情報の社外への漏洩が年々増加している事が裏付けされています。

このように情報セキュリティ事故は規模・件数・被害の影響などが拡大しています。しかも漏洩企業組織体によっては非常に話題性も高く、マスコミ・ネット炎上するケースも多々あります。時代が情報資産の価値を高め利用形態の多様化を招き、過去の経験の想定以上の現実が目の前にあるという、非常に危険な社会環境に踏み込んできています。

２．情報セキュリティ7要素

情報セキュリティ対策として様々なアプリケーション・機器等が販売されています。それらのすべてが有効だと言えると同時に、それらのすべてが有効でないとも言えます。これらはリアル・ネットワーク・SNSすべての状態で同時に有効に働くことを実証できません。各社ともセキュリティ原則に基づき開発提供していますが、対象事象は限定的であることを忘れてはいけません。

では「何をするべきか」という事です。私見ではありますが、ISMSの情報セキュリティ7要素を抜きに情報セキュリティの適切な運用ができないのではと思っています。

前回のトピックでも7要素をハード・ソフト・危機管理にシームレスに適用する必要性について触れましたが今回は少し具体的に記載します。

7要素の定義は、以下のようになります（Q 13335-1：2006参照し筆者加筆） 。

7要素は古くて新しい要素です。これらを基本に情報セキュリティの在り方を検討することが最も着実な活動ではないかと思われます 。

３．情報セキュリティルールと7要素

情報セキュリティ教育担当者にとって7要素は非常に初歩的なことだとは思います。しかし、全社的な情報セキュリティレベルを高めるためには、組織的に7要素の強化が必要です。特に人的要因でセキュリティ事故を発生させないために7要素を強化する観点を加えることができると、それが全社的な脆弱性の軽減につながると考えられます。

本章では、まず、IPAが公開している情報セキュリティハンドブックからルールを抜粋して7要素との関係を確認したいと思います。IPA公開の情報セキュリティハンドブックは社員が情報セキュリティを高めるための基本的ルールのサンプルが掲載されています。そのルールと記載事項を抜粋してどの要素の強化につながるかを表にプロットしてみました。

なおプロットは、「内部から情報を漏洩させないための情報セキュリティ」を前提として各要素にプロットしています。

表1 情報セキュリティルールと7要素

実施例から読み取れる7要素の強化（IPA情報セキュリティハンドブック参照）

改めてプロットすると、それぞれのルールの特徴が明確になり、実施することで強化できる要素と付随的に強化されている要素がイメージできます。そしてそのルール内で他の要素を強化するにはどのような実施内容が必要かなど、効果的な実施内容を検討することが可能になります。

４．情報セキュリティ教育と7要素

前章では個別のルールと7要素との関係性を可視化しましたが、本章では、セキュリティ教育システム教育担当者の具体的実施事項と受講者の受講目的（受講者の実施事項）を7要素に分類し整理しました。この手法は教育上の留意点を見える化し受講者の理解と実践可能性について継続した評価を可能にするための一モデルです。

以下の2つのルールについて可視化サンプルを記載しました。

表2は、PCを貸与する場合の教育担当者と貸与者（受講者）のそれぞれの主な実施事項を独断と偏見で7要素に振り分けた表です。このように教育システム担当者と受講者を要素別に比較すると、セキュリティ行動を高めるための留意点がなにか、どのように高めるべきかのポイントが見つけられます。

表2 自社の情報セキュリティ教育要素（PC貸与例）

表3は、通常のメール送受信に関わる情報セキュリティ実施事項等を、表2と同様の手法で各要素ごとに振り分けた表です。メール送受信は情報セキュリティの基本であり、セキュリティ事故のかなりの割合を占めています。①自分から漏洩させてしまうセキュリティ事故と②自分に送られたメールに端を発するセキュリティ事故があります。教育担当者はメールの取り扱いに関しハード・ソフト両面を十分に教育周知させていますが、受講者の教育の理解度と情報セキュリティの認識を表3のような留意点に分解すると教育進捗と教育のポイントが可視化できます。

表3 自社の情報セキュリティ教育要素（メール送受信）

企業のPC貸与ルール、メール取り扱いルールを表2、表3のように整理しましたが、それぞれの実施項目が7要素のどこに該当するかを理解することで、教育担当者も受講者も情報セキュリティルールの遵守の必要性を更に理解することができるかと思われます。また、留意点を明確にすることで個々人が理解度を高めるべきセキュリティ教育がさらに納得性の高いものになるかと思われます。この手法により教育上の留意点が見える化でき受講者の理解度を把握しどのレベルで実践できるかについて評価が可能になります。

５．おわりに

あらゆるマネジメントシステムに人員の「力量」の要求事項があります。ISMSやPMSでも「力量」の要素は大きく、その担当者ができるのか、資格を持っているか、また教育を受けたのかなどをエビデンスで残しています。このエビデンスは重要な記録ですが、より具体的に各本人の情報セキュリティリテラシーレベルを評価しているとは言い難いものがあります。

今回ご紹介した手法（モデル）は、組織がそれぞれのルールを推進する趣旨を理解し、教育担当者・受講者双方に、何をどの位できなければならないかの指標を共有でき、組織人として継続的に取り組むべき方向性を示すことが可能です。

現在は、不正アクセス増加しその被害も増大しています。人的要因を強化することでそれらの不正アクセス被害を軽減することもある可能です（代表的な例ではメール送受信教育）。

いまこそ、組織で実行している情報セキュリティルールを、更に浸透させより良い運用を可能にするために、個々のルールについて見直しをすすめる時期なのかもしれません。

本稿は筆者の独断と偏見に満ちた教育手法（モデル）を紹介しています。貴社の今後のセキュリティ教育の一助となれば幸いです。

次号は、また別の視点で情報セキュリティを高めるための情報提供をしたいと思います。

• 情報セキュリティトピックス
• 個人情報