いつも本ブログをご覧いただき、ありがとうございます。
弁護士・税理士の鳥光でございます。
今回からは、情報セキュリティのお話を載せていきます。
以前にも何回か情報セキュリティのブログを書きましたが、2年以上前のことなので、改めて記事を書いていく所存です。
情報セキュリティは、どのような業務であっても、とても大切な分野であることに異論はないと思います。
弁護士など士業の世界も例外ではなく、むしろ依頼者の方のご住所などの身上に関する情報、財産に関する情報など、非常にセンシティブな情報を扱うことから、厳格なセキュリティ対策が求められるといえます。
私は前職において、情報セキュリティに関係する業務に就いていたことがあります。
IPAが主催する、情報セキュリティスペシャリスト(現在の情報処理安全確保支援士に近いもの)試験にも合格しています。
当時は、外部からの不正アクセス対策、組織内部からのアクセス対策、そしてマルウェア(一般的にコンピューターウイルスと呼ばれるもの)対策を行っていました。
いずれの対策においても、システム面での対策と、人的な面での対策が必要となります。
そして、この2つの面における対策は、車の両輪のようにつながっており、どちらか一方のみ対策をしても、高い効果は望めません。
まず、外部からの不正アクセスについては、ファイアウォールの設置(ポリシー設計)や、VPNシステム設置・管理など、システム面での対策が基本になると考えられます。
外部ベンダーのデータセンター(いわゆるクラウド)を使用する場合には、セキュリティに関する詳細な要件定義をするとともに、設計のレビュー、システムテスト結果の確認を行い、外部からの不正アクセスを防止できる作りになっているかの確認も必要になります。
そして、人的な面での対応としては、過失による設定ミスの予防、発生時の早期対応ができるようにしておくことが必要となります。
システムに限らず、たとえ誠実で真面目な人が作業を行ったとしても、ヒューマンエラーは確率論的に起き得るということを前提にします。
設定変更は2名以上の体制で行い、かつ作業時の入力コマンドの履歴を残す、変更後の設定データのスクリーンショットを撮るなどし、リリース作業内容に間違いがないかを逐一確認するようにします。
また、設定ミスが放置されることを防ぐため、定期的なペネトレーションテストを行い、不正アクセスが可能な状態になっていないかも確認します。
システム面、人的な面のいずれかにおいて、故意または過失があり、損害が生じた場合、誰がどのような責任を負うのかが問題となります。
一般的に、システムに関する法的なトラブルは、責任の所在がとても複雑になります。
そのため、開発、保守運用の契約において、ユーザーとベンダーの役割分担などを明確にしておく必要があります。
リリース体制や作業内容の履歴を記録することも、故意や過失の発生を防止するとともに、もし損害が発生した場合の調査を可能にしてくれます。
次回は、組織内部からのアクセス対策について書いていきます。