ルールと人

解説（テキスト版）

はじめに

情シスには、こんな相談が届きます。うちの情報セキュリティポリシーは、どこに書いてありますか。実際の作業は、何を見ればいいですか、と新しい職員に聞かれる。

あるいは、職員が、誤って個人情報を、違う宛先に送ってしまった。まず、何をすればいいんですか、と電話が来る。

どちらも、ルールと、人の話です。どんなに技術を整えても、ルールが知られていなかったり、人が動けなかったりすると、守りは機能しません。

今日は、セキュリティ基礎編の最終回として、ルールと人をお話しします。

一言で言うと

先に、一言でまとめます。セキュリティは、技術と、ルールと、人の、3つで守ります。

ルールは、情報セキュリティポリシーとして、階層で整理されています。そして、決めて終わりではなく、守られているかを確かめて、見直し続けます。

基礎編のどこか

ここまでの5回は、考え方と、技術の話でした。守るもの、損なうもの、守り方の原則、認証と記録、暗号です。

最終回は、それを、団体として、動かし続けるための、ルールと人の話です。

技術の製品は、入れて終わりではなく、ルールと人が、そろって動きます。

ポリシーの階層

まず、ルールの構造です。情報セキュリティポリシーは、一般に、階層になっています。

いちばん上が、基本方針です。なぜ、何を守るのか、という、団体としての考え方を示します。

その下が、対策基準です。基本方針を実現するために、守るべきことを、具体的に定めます。たとえば、権限の与え方や、ログの保管の考え方です。

さらに下に、実施手順があります。個々のシステムで、誰が、何を、どうするのか、という、現場の手順書です。

冒頭の、実際の作業は何を見ればいいか、という質問の答えは、多くの場合、この実施手順です。基本方針や、対策基準と、手順書が、つながっているかを、見てください。

総務省のガイドライン

自治体のポリシーは、総務省の、地方公共団体における情報セキュリティポリシーに関するガイドラインを、参考に作られています。

このガイドラインは、各団体が、ポリシーを作ったり見直したりするときの、参考として示されたものです。例文も載っています。団体は、自分たちの実情に合わせて、定めます。

ガイドラインには、情報セキュリティを統括する責任者や、事案に対応する体制を置くことも、書かれています。

そして、2026年4月から、自治体は、サイバーセキュリティを確保するための方針を、定めて、公表することが、法律で義務になりました。ポリシーを説明する場面は、増えていきます。

決めて終わりにしない

ルールは、決めて終わりではありません。守られているかを確かめて、見直す、という循環が必要です。

計画して、実行して、確かめて、改善する。いわゆる、ピーディーシーエーです。

ガイドラインにも、自己点検や、監査、そして、その結果を、ポリシーの見直しに生かす、ことが書かれています。

技術も、脅威も、制度も変わります。数年前に作った手順が、いまの構成に合っているとは限りません。更新の日付を見て、古くなっていないかを、確かめます。

人の対策：教育と訓練

次に、人の対策です。ルールがあっても、職員が知らなければ、守れません。

ガイドラインでも、職員への研修や、訓練が、求められています。入ったときだけでなく、定期的に行います。

標的型メールの訓練は、その一つです。怪しいメールを、実際に送ってみて、開いてしまった人が、どれくらいいるかを見ます。

ただ、開いた人を、責めるための訓練ではありません。開いてしまったときに、すぐ報告できる、空気をつくるのが、目的です。隠されるほうが、被害は大きくなります。

内部の人と、うっかり

人の面で、もう一つ。内部の人による、事故です。

多いのは、悪意のない、うっかりです。メールの誤送信、書類やUSBメモリの紛失、公開してはいけない情報を、載せてしまった。こうした事案は、報道でも、よく見かけます。

悪意のある内部不正も、ゼロではありません。第3回で話した、最小権限、職務の分離、第4回の記録は、うっかりにも、不正にも、効く対策です。

ミスは、人の注意だけでは、防ぎきれません。宛先を確認する画面を出す、添付ファイルを自動で暗号化する、といった、仕組みで、助けることを考えます。

インシデント対応の入口

冒頭の、誤送信してしまった、という電話に戻ります。何かが起きたときの、対応の入口を、整理します。

最初に大事なのは、報告の窓口が、決まっていて、職員に知られていることです。誰に、どの順で、連絡するのか。夜間や休日はどうするのか。

次に、被害の広がりを止める。誤送信なら、相手への連絡や、削除の依頼。端末の感染が疑われるなら、ネットワークから切り離す。ただし、切り離すかどうかは、団体の手順に従います。

そして、記録を残す。何が、いつ、どうなったかを、残します。運用編の第10回でお話しした、障害の初動と、同じ考え方です。迷ったときは、手を動かす前に、情報セキュリティの責任者に相談します。

報告が遅れるほど、被害は広がります。早く報告した人が、責められない。その約束が、窓口とセットで、必要です。

現場でよくある誤解

現場でよくある誤解を、3つ挙げます。

一つ目。ポリシーは、作ってあれば、それで十分、という誤解です。職員に知られて、守られて、見直されて、はじめて機能します。

二つ目。セキュリティは、情シスだけの仕事、という誤解です。職員一人一人の行動が、守りの一部です。情シスは、仕組みと、ルールを整える役です。

三つ目。ミスをした人を、強く責めれば、減る、という誤解です。責められると思えば、報告が遅れ、隠されて、被害が広がります。ミスが起きても、早く報告できる体制が、大切です。

異動してきたら最初に確かめること

では、異動してきたら、まず何を確かめればいいでしょうか。

一つ目。自分の団体の、情報セキュリティポリシーの、基本方針、対策基準、実施手順が、どこにあって、最後に改定されたのが、いつかです。ガイドラインの、どの版に合わせてあるかも、見ます。

二つ目。事故が起きたときの、報告の窓口と、連絡の流れです。責任者は誰か。夜間や休日は、どうなるのか。

三つ目。職員への研修や訓練の、実施の状況です。いつ、誰を対象に、何を行っているのか。内容に、情シスの視点を足せないか、考えてみてください。

セキュリティ基礎編のふり返り

これで、セキュリティ基礎編は最後です。ふり返ります。

第1回は、情報セキュリティの3要素、機密性、完全性、可用性。第2回は、脅威、脆弱性、リスクの違いと、優先順位の考え方でした。

第3回は、最小権限、職務の分離、多層防御など、守り方の原則。第4回は、認証、認可、記録。第5回は、暗号、ハッシュ、電子署名。そして今日が、ルールと人でした。

最後に

製品の名前や、言葉は、これからも、どんどん変わります。でも、守るものを決めて、損なうものを知り、原則に沿って重ねる、という考え方は、変わりません。

迷ったときは、第1回の3つに戻ってください。いま、何が損なわれそうなのか。それを守る手段は、機密性、完全性、可用性の、どれなのか。

このあとの、セキュリティ編では、その考え方を使って、具体的な製品を見ていきます。この動画が参考になったら、グッドボタンとチャンネル登録をお願いします。最後までご覧いただき、ありがとうございました。