なぜ、「セキュリティポリシー」が必要なの?――自社のセキュリティポリシーを一度も読んだことがない方へ:セキュリティ、いまさら聞いてもいいですか?(6)(3/4 ページ)
セキュリティ関連のキーワードについて、とことん基礎から解説する本連載。第6回のテーマは、「セキュリティポリシー」です。「人的要因」によるセキュリティ事故を防ぐためのポリシーの策定・運用・変更のポイントについて解説します。
ポリシーだけ定めても、運用できなければ意味がない
セキュリティポリシーの策定が必要であることは分かりました。でも、正直に言うとポリシーだけ定めたってどうせ効果はないと思ってしまいます。
その通りです。定めたセキュリティポリシーは、PDCAサイクルに沿って実際に運用できなければ、無用の長物になってしまいます。
事実、情報漏えい事件を起こしてしまった多くの企業には、セキュリティポリシーが存在しました。しかしながら、実際には「社員がポリシーを守らなかった」ことが原因となった事件が多く発生しているのです。ポリシーやルールが順守されていない理由としては、「そもそも読んだことがない」あるいは「読みはしたが内容が分からなかった」といったことが考えられるでしょう。
セキュリティポリシーは、「制定した」だけでは意味がありません。制定した内容に従って、運用することが重要です。そして、運用上の問題点があればポリシー自体も常に改善していかなければなりません。
つまり、「PDCA(Plan、Do、Check、Act)」のサイクルを回すことが重要です。一度決めたルールであっても、それが順守されているかどうか、定期的にチェックを行い、必要に応じて指導・教育していく必要があります。
チェック、指導の対象はセキュリティ担当者だけで十分ですよね?
全ての従業員がポリシーを順守しなければ、セキュリティを維持することはできません。
セキュリティはよく城壁に例えられます。全体として強固な作りになっていても、たった一箇所弱い部分があると、そこが狙われてしまいます。社員全員がセキュリティに対する意識を高めないと、せっかく定めたセキュリティポリシーも全く意味のないものになってしまいます。ぜひ、自社のセキュリティポリシーを確認してみてください。
Quiz:セキュリティポリシーを変更ときのポイントは?
次ページからは、セキュリティポリシー見直しのポイントを紹介します。
Copyright © ITmedia, Inc. All Rights Reserved.
Security & Trust 記事ランキング
- 急増する「なりすまし」メールの受信を防ぐDMARC、配信事業者の導入実態は
- 継続的デリバリーツール「Argo CD」に深刻な脆弱性、APIトークン経由で認証情報流出の恐れ
- Salesforceからのデータ窃取、Google、Cloudflare、Zscalerが被害 原因は連携していたサードパーティアプリの侵害
- 「SBOM」国際ガイダンス公開 日本、米国など15カ国が共同署名
- ASPM(アプリケーションセキュリティ態勢管理)は何をもたらすのか
- VS Codeでプロンプトインジェクションを可能にする3つの脆弱性 GitHubが対策とともに解説
- 5社に1社が「シャドーAI」に関するインシデント経験――企業のデータ侵害コスト、日本は5億5000万 IBM調査
- GitHub、シークレット情報の漏えい状況を分析するアセスメント機能を提供開始