サイバー犯罪入門: Yoshiのブログ

サイバー犯罪入門　-国もマネーも乗っ取られる衝撃の現実-　足立照嘉　幻冬社

　情報セキュリティの啓蒙書。素人を対象にわかりやすく書いてある。

　足立照嘉氏は、具体的なセキュリティ対策はアウトソーシングすべきだとおっしゃる。

　外部のサービスやアウトソーシングを利用すれば、自社単体で対策をするよりも、幅広い知見と具体的な方策を得られる。また、彼らを通して、同業他社の実情が分かれば、自らに不足しているところも浮かび上がってくる。
　これを、自分たちだけでやっていこうとするのは、非常に難しいし効率が悪い。

確かに一理ある。

　例にあるような航空会社の予約システムなら実に効率的だ。
しかしである。情報セキュリティを扱うということは、秘密を扱うとということだから、自社の秘密にアクセスを許すことにはリスクは伴う。

　外注先のセキュリティ業者と守秘義務契約を結んだとしても、意図せず他社に秘密が漏れないとも限らない。秘密保持契約は情報漏洩の抑止力にはなるが、秘密保持契約ではペイできないリスクもある。そして、毀損したブランドの価値は損害賠償してもらったところで戻らない。

　ところで、弁護士も、クライアントの秘密に触れる職業だ。しかし、弁護士に相談する際にはリスクは小さいと感じる。なぜならば、弁護士には守秘義務が課せられ、社会から倫理感が求められる。その対価として社会的な地位と収入が得られる仕組みができているからだ。

　弁護士が非倫理的な行動をとった場合、社会的地位と収入を失うことになるから、コスト的に非倫理的行動を取りにくい。
つまり、弁護士は高い職業倫理とコスト面でクライアントの秘密が漏れるリスクを小さくしているわけだ。

　一方で、情報セキュリティ技術者に弁護士と同じような、社会的地位と収入があるかといえば疑問だ。更にセキュリティ業の倫理は確立していない。業界の識者がニューカマーに教えているのは「法に触れてはならない」だ。

　クライアントからすると情報セキュリティ業社や技術者を信用して秘密を預ける際にはリスクは高いと感じるのではないだろうか。

　それでもなぜ、経営者はリスクの高いと感じる者に秘密を預けるのか？というと、多くの経営者や意思決定者がロジカル・シンキング{しない|できない}からだろう。

　そもそも、情報セキュリティのリスクを考えていないし、情報セキュリティ対策を行ったとしても、アウトソーシングする場合のリスクも考えなていない。

　リスクを過小評価する日本人の特性ではないだろうか。

　情報セキュリティ業界にいる人は倫理感に欠けると言っているわけではない。事実、
情報セキュリティ業界にいる知り合いは、倫理観を持っている。

　業界の構造、業界のイメージが成熟していないのだろう、だから、サイバー犯罪を犯したスクリプトキディを雇うべきだという、見当はずれなことを言う輩が出てくる。

　いまのところ、前述したように経営者や意思決定者がリスクを分かっていないから、情報セキュリティ業者に外注するだろう。また、情報セキュリティ技術者の絶対数が足りないから、外注せざるを得ない。

　しかし、経営者にとって情報セキュリティが当たり前になり、情報セキュリティを理解するようになると、遅かれ早かれ、この業界が抱えた構造的なリスクに気がつくだろう。

　それまでに、この業界は、信用に足りる業界にならなけれならない。

Yoshiのブログ