可用性と機密性のバランス

今やっている「ほぼ一人情シス」の業務の中に情報セキュリティ対策もある。
セキュリティポリシーや監査は担当ではないので、専ら作業が担当だ。

情報セキュリティの3要素、可用性、機密性、完全性の中で、可用性と機密性は相反するから、どこでバランスさせなくてはならない。

絶対的な正解は無くてどこでバランスさせるかはその組織ごとに異なる。
ところが、判断基準が明確でない組織や個人は、場合により正でもあり誤でもある判断は気持ち悪いから、思考を単純化するようだ。
ついには、判断が0or100になってしまう。
重要なことは、組織の目的に照らしてバランスさせることだ。

一般的にIT部門は可用性を重視しがち、総務監査部門は気密性を重視しがちだ。
以前働いていた職場はIT部門が情報セキュリティも担当していた(監査も)。
すると、気密性を主張する声が大きくなり、バランスを欠いて機密性原理主義のようになっていた。

反対に「ほぼ一人情シス」をやっている今の職場は、可用性を主張する声が大きい。
放っておくと、可用性原理主義になりそうだったので、問題提起しておいた。
バランスが取れるといいな。

IT部門・担当とセキュリティ部門・担当は別の方が良い。

---

最近の投稿
【Yoshiのよしなしごと】【Yoshiのブログ】【よしなしごと】【ほぼ1人情シス】