なぜ、「セキュリティポリシー」が必要なの?――自社のセキュリティポリシーを一度も読んだことがない方へ:セキュリティ、いまさら聞いてもいいですか?(6)(3/4 ページ)
セキュリティ関連のキーワードについて、とことん基礎から解説する本連載。第6回のテーマは、「セキュリティポリシー」です。「人的要因」によるセキュリティ事故を防ぐためのポリシーの策定・運用・変更のポイントについて解説します。
ポリシーだけ定めても、運用できなければ意味がない
セキュリティポリシーの策定が必要であることは分かりました。でも、正直に言うとポリシーだけ定めたってどうせ効果はないと思ってしまいます。
その通りです。定めたセキュリティポリシーは、PDCAサイクルに沿って実際に運用できなければ、無用の長物になってしまいます。
事実、情報漏えい事件を起こしてしまった多くの企業には、セキュリティポリシーが存在しました。しかしながら、実際には「社員がポリシーを守らなかった」ことが原因となった事件が多く発生しているのです。ポリシーやルールが順守されていない理由としては、「そもそも読んだことがない」あるいは「読みはしたが内容が分からなかった」といったことが考えられるでしょう。
セキュリティポリシーは、「制定した」だけでは意味がありません。制定した内容に従って、運用することが重要です。そして、運用上の問題点があればポリシー自体も常に改善していかなければなりません。
つまり、「PDCA(Plan、Do、Check、Act)」のサイクルを回すことが重要です。一度決めたルールであっても、それが順守されているかどうか、定期的にチェックを行い、必要に応じて指導・教育していく必要があります。
チェック、指導の対象はセキュリティ担当者だけで十分ですよね?
全ての従業員がポリシーを順守しなければ、セキュリティを維持することはできません。
セキュリティはよく城壁に例えられます。全体として強固な作りになっていても、たった一箇所弱い部分があると、そこが狙われてしまいます。社員全員がセキュリティに対する意識を高めないと、せっかく定めたセキュリティポリシーも全く意味のないものになってしまいます。ぜひ、自社のセキュリティポリシーを確認してみてください。
Quiz:セキュリティポリシーを変更ときのポイントは?
次ページからは、セキュリティポリシー見直しのポイントを紹介します。
Copyright © ITmedia, Inc. All Rights Reserved.
Security & Trust 記事ランキング
- ランサムウェア被害の歴史に見る、「侵入前提」の進化と「被害前提」のレジリエンス構築
- 2025年版「日本のセキュリティのハイプ・サイクル」 ガートナージャパンが発表
- 農業分野でサイバー攻撃が前年比101%増の急伸 チェック・ポイント、2025年8月の脅威動向を発表
- 役職者でも承認要求による犯行が後を絶たない――内部犯行が“見えない”3つの理由と明日からできる対策
- その不正ログイン対策は抜けるのか? 「突破されない」認証設計の10原則
- 生成AIのリスクを特定する「LLM脆弱性診断サービス」をEGセキュアソリューションズが提供開始
- 合計で毎週20億以上ダウンロード、「debug」「Chalk」など18の人気npmパッケージにマルウェア混入
- 事業停止50日、被害額17億円――物流の「関通」社長が語るランサムウェア感染、復旧までのいきさつと教訓
- 国レベルでも対策が進む IPAが「情報セキュリティ白書2025」で警鐘を鳴らす
- Apple、iOS 18.7とiPadOS 18.7を公開 アプリによるDoS攻撃やキーロガー問題などに対処