なぜ、「セキュリティポリシー」が必要なの?――自社のセキュリティポリシーを一度も読んだことがない方へ:セキュリティ、いまさら聞いてもいいですか?(6)(3/4 ページ)
セキュリティ関連のキーワードについて、とことん基礎から解説する本連載。第6回のテーマは、「セキュリティポリシー」です。「人的要因」によるセキュリティ事故を防ぐためのポリシーの策定・運用・変更のポイントについて解説します。
ポリシーだけ定めても、運用できなければ意味がない
セキュリティポリシーの策定が必要であることは分かりました。でも、正直に言うとポリシーだけ定めたってどうせ効果はないと思ってしまいます。
その通りです。定めたセキュリティポリシーは、PDCAサイクルに沿って実際に運用できなければ、無用の長物になってしまいます。
事実、情報漏えい事件を起こしてしまった多くの企業には、セキュリティポリシーが存在しました。しかしながら、実際には「社員がポリシーを守らなかった」ことが原因となった事件が多く発生しているのです。ポリシーやルールが順守されていない理由としては、「そもそも読んだことがない」あるいは「読みはしたが内容が分からなかった」といったことが考えられるでしょう。
セキュリティポリシーは、「制定した」だけでは意味がありません。制定した内容に従って、運用することが重要です。そして、運用上の問題点があればポリシー自体も常に改善していかなければなりません。
つまり、「PDCA(Plan、Do、Check、Act)」のサイクルを回すことが重要です。一度決めたルールであっても、それが順守されているかどうか、定期的にチェックを行い、必要に応じて指導・教育していく必要があります。
チェック、指導の対象はセキュリティ担当者だけで十分ですよね?
全ての従業員がポリシーを順守しなければ、セキュリティを維持することはできません。
セキュリティはよく城壁に例えられます。全体として強固な作りになっていても、たった一箇所弱い部分があると、そこが狙われてしまいます。社員全員がセキュリティに対する意識を高めないと、せっかく定めたセキュリティポリシーも全く意味のないものになってしまいます。ぜひ、自社のセキュリティポリシーを確認してみてください。
Quiz:セキュリティポリシーを変更ときのポイントは?
次ページからは、セキュリティポリシー見直しのポイントを紹介します。
Copyright © ITmedia, Inc. All Rights Reserved.
Security & Trust 記事ランキング
- iPhoneは監視されている――なぜGoogleが警鐘を鳴らすのか
- 2024年1月の「WinRE更新エラー」は、なぜ、どのように発生したのか? どうやって解決するつもりなのか?
- デバイスに頼りすぎない「統合的なゼロトラスト環境」を目指す企業が増えている ガートナー
- Flightradar24、GPSジャミングを受けている地域を可視化した「GPSジャミングMAP」を公開
- パスワードの定期的な変更はリスク軽減につながるわけではない アカウントを安全に保つには?
- パスワード不要の認証「パスキー」のすごさとは?
- 「Protobom」でSBOMの作成、異なるフォーマットへの変換が容易に? OpenSSFが発表
- 登大遊氏が憂う、日本のクラウド、セキュリティ、人材不足、“けしからん”文系的支配
- Windows環境でコマンドインジェクションを引き起こす脆弱性、複数のプログラミング言語に影響
- 「犯罪者のExcel離れ」が止まらない理由