こうしたことをある程度実行しているのが、米出版社のMoney Crashers Personal Financeだ。同社のIT部門責任者ギュテ・パク氏によると、同社は従業員や取引先、サードパーティーベンダーとの間の秘密保持契約を、できる限り全てを網羅する包括的なものへと改定した。ポリシーの規定も強化し、機密性が高いデータにアクセスできるのは、IT部門の上層部のみとした。

　ただ、Money CrashersがNSAの監視活動を巡るスキャンダルから学んだのは、ファイアウォール外で動くデータを本質的に信用してはいけないということではなく、それよりも、従業員に対して無条件に全面的な信頼を置いてはいけないという教訓だった。

　パク氏は言う。「懸念すべきは、誰がわれわれのデータにアクセスしたかが分からないことではない。最も望ましくないのは、組織内の人間がわが社に関する社外秘情報を全てリークしようという気を起こすことだ」

　一般的に、IT管理者は組織内で最も信頼されている人物であり、全てのデータにアクセスすることが可能だ。まさにエリック・スノーデン氏がそうだったとパク氏は指摘する。

IT企業9社から情報収集か

　スノーデン氏がNSAの「PRISM」について暴露したPowerPoint資料には、NSAが米Microsoft、米Google、米Facebook、米Appleを含むIT企業9社から電子メール、写真、動画などの情報を収集できる実態が詳細に記されていた。

　米ソフトウェアセキュリティコンサルタントCigitalのモバイルセキュリティプラクティス責任者、スコット・マツモト氏は、「セキュリティの観点から見ると、われわれは内部の脅威を軽視しがちな傾向にある」と解説する。

　PRISMを使えば、バックドアを通して各社のサーバに直接アクセスできるのか、それともアクセスはある程度制限されるのか、あるいは個別に法で定められた条件を満たした場合に限られるのかについては、相当の論議が交わされてきた。NSAの監視活動がどの程度懸念されるのかを巡っても、いくらか混乱がある。マツモト氏によれば、NSAが収集していたのは連絡先、写真、知的財産、個人情報といった実際のデータではなく、メタデータだったといわれているという。

　マツモト氏は「データとメタデータとの違いは、実際の通話を録音して盗み聞きすることと、電話がかかってきたという情報のみを入手することとの違いにも匹敵する」と話す。

　組織にとっての問題は、携帯電話の通話や従業員のインターネット利用によって生成されたメタデータが、自分たちを危険にさらすための有用な情報となりかねないことだ。

　NSAに情報を提供していたとされる現時点で9社のIT企業は全て、NSAをサーバに直接アクセスさせてはいなかったと説明し、米Twitter、Google、Microsoftなどの数社は米政府に対し、政府による情報開示要請に関してもっと説明させてほしいと求めている。

　「結局のところ、われわれがどの程度神経質になるかの問題だ。コンシューマー主導型の世界において、われわれが顧客と従業員のために保持している情報のプライバシーとセキュリティ対策は、IT部門にとって最大の目標でなければならない」（マツモト氏）

企業のプライバシー保護強化策

　米エンジニアリングサービス企業MiTek IndustriesのWebサービス／ソフトウェア担当エンジニア、ジャスティン・ダニエルズ氏によると、IT部門が組織のデータを守るために使うツールや手段は、脅威をもたらす相手が外国の組織であれ、悪意を持ったハッカー集団であれ、あるいは米政府だったとしても変わりはない。

　「自分が真にコントロールできるのは、職場で鍵を掛けた自分の引き出しにしまってある財布だけだ」と同氏は言う。MiTekは主要システムの1つにクラウドプロバイダーを利用しており、他のシステムについても戦略的なクラウドへの移行を視野に、Windows AzureとAmazon Web Servicesを積極的に検討中だ。NSAの事態が発覚しても、この計画に変更はない。

　ノートPCからリモートでMiTekのネットワークアプリケーションと電子メールにアクセスする際は、米Citrix Systemの「Receiver」を利用する。同社は外出先の従業員によるアクセスを可能にするため、階層的なアプローチを確立してきた。例えば会社が管理・保有する端末からのアクセスは大部分を認める一方、従業員の私物端末からのアクセスは制限する。いずれの場合もユーザーは米Accellionのセキュアなアプリケーションを使ってファイルを同期できる。

　「こうしたユーザーポリシーを確立することが大切だ。セキュリティのために導入しても、ユーザーにとっては不便でしかない技術やポリシーも多数ある。過度にセキュアになり過ぎず、それでもセキュリティを保つことが課題だ」とダニエルズ氏は話す。

　MiTekの従業員が対応できる範囲を超えて過度なセキュリティ対策やポリシーを追加すれば、従業員はIT部門を迂回するようになり、組織に無用のリスクをもたらしかねないとダニエルズ氏は懸念する。

　他にもデータ暗号化技術の活用やファイアウォールの維持、あるいはクラウドやサードパーティーによるデータバックアップを避けてバックアップをオンプレミスで行うことなどが提言されている。