こんにちは、SSL研究員 吉野です。
2017年12月20日、プライバシーマークの規格であるJISQ15001が改訂され、JISQ15001:2017が公開されました。2006年の改定以来、11年ぶりの改訂となります。新審査基準は2018年8月1日から開始されますが、私の勤めるSST（スマート・ソリューション・テクノロジー）はちょうど2月に更新審査を終えたため、新基準は2年後です。
あっという間の2年ですから、そろそろ運用を見直していかなければ、と「JISQ15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン第2版」をニヤニヤ眺めていますが、一方で複数のシステムからの定期パスワード変更指示に、新しいパスワードを考えること、覚えて管理することができなくなっている自分に戸惑いを感じ、見直しをためらっている、、、そんな複雑な今日この頃です。
セキュリティとは何か？
セキュリティとは、一般的に、守るべきもの、脅威となるもの（リスク）に対する対応、対策を意味します。
守るべきものが情報資産であれば情報セキュリティであり、家やオフィスの中にある大事なものを守るために区画への入退室管理を行うのであれば、物理的セキュリティを考える必要があります。
例えば、「情報漏洩」「なりすまし」「乗っ取り」といった最近よく話題にでる情報セキュリティにおいて、パスワードを適切に管理することは最低限のセキュリティ対策です。パスワードが漏洩すると、情報資産の気密性、完全性の確保が失われ、悪意を持った他人が自分になりすまして情報資産にアクセスすることが可能になります。
また、物理的に重要区画を施錠し、鍵もしくは入退室カードを、決められたルールに基づき管理することもセキュリティ対策として重要です。
なぜなら、万が一、事故が起こった場合は、社会的信用の失墜等、企業にとって重大な経営的影響を受けることになるからです。
泥棒セキュリティ！
私事ですが、セキュリティの仕事に携わってから、かれこれ長い月日がたちました。学生時代、画像処理の研究をしながら工学部をonly girlで謳歌していた私は、「画像処理→カメラ→監視カメラ→警備」という、なんとも連想ゲームのような志でセキュリティの世界へ飛び込み、今に至るまで、たくさんの分野のセキュリティを経験しました。
そして、このセキュリティ経験の中で、最初に出会った、原点が、侵入盗です。
デジタル信号処理とは程遠い、Another Worldなリアルな泥棒の世界に、当時は、静かに驚愕したものです。
ところで、皆さん、泥棒の3原則をご存知ですか。
「見つからない、気づかれない、捕まらない」だそうです。
これがそろっていると、しめしめ!!と侵入するそうです。最近では、朝のゴミ出しや忌中のタイミングでの侵入盗がクローズアップされていましたね。
そしてこの3原則に対する侵入防止4原則は、「目、音、光、時間」です。
目：ひとめにつく
音：大きな音
光：明るく照らされる
時間：侵入に5分以上かかる
防犯パトロールや監視カメラの設置、防犯ブザーやサイレンで知らせる、センサーライト等で明るくする、強固な施錠をする等の侵入防止を図ります。専ら、防犯パトロール等のソフト化は近年の大きな課題ですね。
平成29年度の警察庁のデータによると、侵入盗の件数は全国で73,122件、内住宅対象は、37,027件でした。
前年と比較し、件数は減少しているものの、テクノロジー、ネットワークの進化に伴い、手口も多様化しています。
しかし、先ほどの侵入防止4原則に従い、鍵をかける、人目のないところを避ける等、日常の身近な注意やちょっとした行動がセキュリティの基本です。
情報セキュリティの分野も同様です。付箋紙にパスワードをメモしたり、スマホにロックをかけなかったり、PCにスクリーンセーバをかけずに離席する等、当たり前のことですが、基本に立ち返ることも必要です。
規程改訂もこの辺を意識しながら見直すことが重要ですね。
