領収書の山は城壁になるか
「セキュリティの予算、全部使ったぞ！」
ビルは請求書の束を高く積み上げ、城壁のように机を囲んでいた。
ボブ「それ、全部必要なソフトなのか？」
ビル「安全を買うためなら高くても構わない」
エビー「じゃあ、誰が設定して使うの？」
ビル「設定は……そのうち誰かが」
ボブ「買い物で仕事を終わらせるな」
ビル「元証券マンとして、リスクにはコストを払う主義なんだ」
エビー「使える状態にしなければ、払うことが目的になってしまうわ」
買った製品は、似た機能を持つものもあり、契約の更新時期もばらばらだった。一方、社内で使うアカウントを誰が管理し、退職した人の権限をどう扱うかという手順は曖昧だった。ビルは説明を聞くと、「細かい運用より、大きな投資の方が経営者らしい」と言い張った。
ボブ「金額が大きいことと、守る仕組みが整っていることは違う」
ビル「投資額を聞かれたら答えられるぞ」
エビー「担当者から『どう設定しますか』と聞かれたら？」
ビル「請求書を見せる」
ボブ「請求書は設定手順書じゃない！」
請求書は設定手順書じゃありません
何を守るための支出か
ボブは診療現場の備品の管理に例えた。
ボブ「優れた医療機器があっても、誰が使うか分からなければ意味がない。点検や操作の訓練も必要だ」
エビー「会社の情報も同じで、何が大切なデータか把握しておきたいわ」
ビル「顧客の連絡先、請求書、契約資料、社員の記録……色々ある」
ボブ「それぞれ保存先とアクセスできる人は？」
ビル「そこまで聞かれると困る」
エビー「でも、それを知らないとどの対策が必要かも決められないでしょう」
ビルが契約したソフトの一つは、管理者の設定がまだ終わっていなかった。別の一つは更新通知の受取先が個人のメールアドレスになっている。エビーは、社長の高額な買い物よりも、担当者が引き継ぎできる体制が重要だと指摘する。
ビル「でも導入の発表は盛大にしたい」
ボブ「『導入完了』と言える状態かを確認しよう」
ビル「少なくとも支払いは完了だ」
エビー「その事実だけは自信があるのね」
博士の鍵束
シルクワーク博士は古い鍵束をテーブルに置いた。
博士「この鍵でどこを開けるか、誰も知らなかったら役に立つかな」
ビル「困りますね」
博士「情報セキュリティも同じだ。道具は大切だが、守る資産と運用する人が決まっていなければ、効果を評価できない」
ボブ「リスクに合った対策を選ぶ必要がありますね」
博士「そう。IPAは中小企業向けに情報セキュリティ対策の情報を公開している。しかし資料を読んだからといって、特定の製品を大量に買うことが唯一の正解にはならない。実際の業務と情報の持ち方を把握し、優先順位を考えよう」
業務と情報の持ち方から、優先順位を
エビー「ソフトの費用だけでなく、使う人の教育や点検も含めるのね」
博士「その通り。アカウントの管理、更新、バックアップ、事故が起きた場合の連絡。いずれも継続的な運用が必要だ。担当者が変わっても続くように、役割と記録を残すことが大切だよ」
ビル「では買ったソフトを全部解約すれば？」
博士「それも極端だね。何が必要で何が重複しているのか、利用条件と契約期間を確認して判断しよう。安易に解約して必要な防御を失うことも避けたい」
ボブ「現状を見た後に調整する」
博士「そうだ。安全を考えるときは『何を買ったか』だけでなく『何が守られているか』を確かめるのだ」
社長が金額を誇った理由
ビルは積み上げた請求書の城壁を崩した。
ビル「正直に言うと、仕組みが分からなかった。詳しい人に質問すると、社長なのに何も知らないと思われそうで。それならお金をたくさん使えば、頑張っていると伝わると思ったんです」
エビー「知識への不安を、支出で隠していたのね」
ボブ「買う前に相談できる人を決めた方がよかった」
博士「専門知識を持つ人に質問できるのは、経営者の弱さではない。目標と制約を伝え、判断に必要なことを聞く力も大切だよ」
ビル「今から担当者と、守る情報の一覧を作ります」
エビー「その作業の方が、城壁よりずっと安心できそう」
本当に守るべき資産を並べてみた
ビルは請求書を眺める代わりに、顧客情報の保存先を整理した。誰がアクセスできるか、使われなくなったアカウントが残っていないか、更新通知を誰が受け取るか。それまで社長会議では話題にならなかった項目ばかりだ。
ボブ「契約に費用を払うことと、日々の操作が適切なことは別だね」
エビー「誰かが辞めたとき、引き継ぎのルールがないと困りそう」
ビル「製品名を知っているだけで、運用まで知っているつもりだった」
博士「担当者に確認したうえで、役割と点検する時期を整理しよう。製品の機能を実際に使えるようにして初めて、対策として評価できる。購入前と購入後の仕事を両方考えてほしいね」
請求書のお守り
翌朝、ビルは請求書の束を一枚にまとめ、額に入れていた。
ボブ「それ、また何？」
ビル「これだけお金を使ったという証拠だ。安全への信念として飾る」
エビー「機器の設定状況を掲示した方が役に立つわ」
博士「情報の取扱いには注意しつつ、点検できる記録を残そう」
ビル「でも額縁を買ったばかりなんだ」
ボブ「また支出を増やしたのか！」
また支出が増えてます
セキュリティ投資は費用を大きくすれば完成するものではない。何を守り、誰が運用し、問題が起きたらどうするかを決める必要がある。社長が知らないことを認めて現場へ聞けるかどうかが、買い物より先の安全対策になる。
IPAは、脆弱性などの重要なセキュリティ情報を随時公開しています。働く人の心の不調や相談先については、厚生労働省の「こころの耳」に情報がまとめられています。
出典
合わせて読みたい
読んで終わりじゃ、もったいない。この記事のテーマを、あなたの次の一歩へ
- このテーマを仕事の現場で活かすなら、コミッターズ（COMITTERS）へ。集客・営業の実務コラムと、無料相談の入口があります
- 心の整え方を、本でもっと深く。楽天ブックス
で、このテーマの関連書籍が探せます
- 一人で抱え込まず専門家に相談したいときは、お問い合わせからご連絡ください。次の一歩を、一緒に整理できます
PRがあります
コメントを残す