机上の書類の山はキケン

クリアデスクポリシーの作成と適用

情報セキュリティを守るために、机の上に機密情報を放置しないという「クリアデスクポリシー」を作成・推進する必要がある。

公開 2010年04月26日 08時00分

更新 2012年09月04日 17時16分

著者

Michael Cobb

[TechTarget]

印刷する

　わたしは決して整理好きな人間ではないが（それは妻が保証する）、毎日仕事が終わった後は、机の上をきれいに片付けるのを習慣にしている。顧客関連の書類はシュレッダーにかけるか、ファイルにとじてキャビネットに収納する。キャビネットの鍵は、バックアップテープなどのメディアと一緒に耐火金庫にしまっておく。それほど手間が掛かることではないし、その見返りは大きい。機密データが安全に保管されているという安心感が得られ、わたしには保管場所も分かっている──これは優れたセキュリティを実現する上で欠かせない2つの基本要件でもある。

　しかし、わたしが訪ねる会社の中には、クリアデスクポリシー（机の上に機密情報を放置しないことによって情報セキュリティを守ること）が存在しないところが多い。ポリシーが存在する会社でも、それが実行されていないのだ。机の上に書類がうずたかく積み上がっているというのは、火災の危険性があるだけでなく（火災保険が適用されない可能性もある）、データ保護法（Data Protection Act）違反に問われる恐れもある。この法律は、機密を要する個人情報を保護することを情報の所有者に義務付けており、違反すれば犯罪として扱われる。

　クリアデスクポリシーを推進したからといって、社内であなたが人気者になることはないだろうが、どんな企業においても、データセキュリティ改善の取り組みでクリアデスクポリシーが重要な役割を果たすことは確かだ。クリアデスクポリシーはISO/IEC 27002標準（情報セキュリティ管理の実施規定）に準拠しており、これを情報分類ポリシーに含めるべきだ。クリアデスクポリシーの成否は、従業員が情報を安全に利用・保管するための適切かつ十分な設備が用意されているかどうかに懸かっている。仕事の内容をのぞき見されることなく日常業務を遂行できる空間を確保するために、仕事場を整理整頓するとともに、施錠可能な脇机やファイルキャビネットなどを備えておかなければならない。施錠式のオフィス家具の鍵も管理する必要がある。例えば、従業員の出退時に鍵の受け渡しを行うのも1つの方法だ。

　クリアデスクポリシーの実施方法と手順は全従業員に周知しなければならず、場合によっては、従業員が理解しているかどうかテストで確認する必要もあるだろう。ポリシーの適用に当たっては一貫性が重要だ。一貫性が欠けると、すぐに悪習がはびこり、たちまち書類の山が再発生することになる。また、説明責任を有する情報所有者をすべてのデータに割り当てる必要がある。情報所有者は担当するデータの処理と保管に責任を持つ。情報の管理に適切な作業習慣が実践されていることを確認するのも彼らの役割だ。

　クリアデスクポリシーは、会議室のような場所にも適用しなければならない。会議室に入ると、直前に行われていた会議のフリップチャートが残されていて、機密のメモが丸見えになっている、という光景をわたしは何度も目にしたことがある。誰もいない部屋に機密文書を放置してはならず、フリップチャートやホワイトボードについても同じことがいえる。1日の業務終了時あるいは退勤時に、従業員に以下の点を確認させることをお勧めする。

すべての書類（未決書類入れにある書類を含む）を適切なファイリングシステムあるいは保管庫に戻したか
新たに作成した書類は適切にファイリングしたか
プリンタやFAXから重要な書類を取り除き、ファイリングあるいは廃棄したか
期限切れの書類、廃棄対象の書類、不要な書類などのコピーは適切な方法で処分したか
コンピュータのリムーバブルメディア（FD、CD、DVDなど）およびドライブを保管場所にしまったか
ファイリングシステム、収納家具、机、脇机、戸棚に施錠し、鍵を適切な場所に保管したか
コンピュータシステムからログオフし、（必要に応じて）シャットダウンしたか
机の上にあったノートPCを保管場所にしまい、施錠したか

　従業員には勤務中に机を整理し、勤務終了後に仕事場を片付ける時間を与える必要があるが、情報を構造的にファイリングする時間を別途設けることも有益だ。特に、オフィスが普段よりも長期間にわたって無人になるクリスマス休暇の前は、全従業員が来年に向けた新たな決意とともに、仕事場をきれいに片付けて新年を迎える準備をするのに絶好の機会だ。

本稿筆者のマイケル・コッブ氏は、データセキュリティ・分析関連のトレーニングやサポートを提供するITコンサルティング会社Cobweb Applicationsの創業者、マネージングディレクター。CISSP-ISSAP（公認情報システムセキュリティプロフェッショナル―情報システムセキュリティアーキテクチャプロフェッショナル）の資格を持つ。共著書に「IIS Security」があり、大手IT出版物に多数の技術記事を寄稿している。

印刷する