ポイント3：“何でもメール”からの脱却

　最後は、用途に応じて情報の伝達や共有手段を分離することだ。こう述べると非常に難しいことのように聞こえるかもしれない。要は“何でもメール”、つまりあらゆる情報伝達／共有にメールを使うのを避けるだけのことだ。

　メールは非常に便利なツールとして、インターネットの普及に合わせて利用が拡大してきた。あまりにも手軽で便利なことから、インターネットユーザーは他のコミュニケーションツールの必要性をあまり感じることがなく、組織内での機密情報にも、不特定多数の外部との連絡にもメールを使うことが一般化してしまった。

　そこは攻撃者の付け入る隙でもあった。どの組織でもほぼ確実に利用しているメールを攻撃経路にすれば、ターゲット組織内部の人物と直接やりとりできる可能性が高い。さらに組織内部の人からだと誤解するような攻撃メールを送ることができれば、マルウェアを端末に感染させるための添付ファイルを開いてもらいやすくなる。だからこそ「標的型メール攻撃」をはじめ、メールの添付ファイルを介したマルウェア感染手法が猛威を振るっているのだ。

　必要なのは「何でもメール」という状況をやめること、つまり情報共有手段を分離することだ。実践はそれほど難しくない。例えば組織内のメンバーで必要な情報を共有するために、グループウェアやイントラネットなどのツールを使うだけでよい。「グループウェアやイントラネットなんて聞いたことがない」という教育機関もあるだろう。しかし、心配は無用だ。それらは「LINE」「Facebook」といったおなじみのコミュニケーションツールとそれほど変わらない。内部で緊密に情報を共有するのであれば、むしろメールよりも便利に利用できる。

　メール以外の情報共有手段の導入と併せて、規定のツール以外で重要な情報をやりとりすることを避ける仕組みと、例外的に外部へ情報を持ち出すときのルールを整備すれば、情報漏えいのリスクを低減できるはずだ。メールを活用する場合でも、メール誤送信防止や添付ファイル無害化などの仕組みを導入すれば、メール経由でのマルウェア感染リスクを低減できる。筆者はセキュリティ対策において、この“何でもメール”という利用方法こそ、IT環境全体で最も大きな脆弱（ぜいじゃく）性ではないかと考えている。

マイナンバー（社会保障と税の共通番号）の利用が始まり、自治体を中心にシステムの強靭（きょうじん）化が叫ばれ、その中で危険なインターネット接続環境と内部システムのネットワーク環境を分離する「ネットワーク分離」というリスク低減方法が一般的になりつつある（参考：連載「なぜ今『ネットワーク分離』なのか」）。それとこの“何でもメール”という環境をやめることは、実は同じ根拠に基づいている。攻撃者が直接マルウェアを送り付けるシステムと、重要な情報を扱うシステムを分離できれば、それだけマルウェアへの感染や情報漏えいリスクは低減できるのだ。

　セキュリティ対策に「絶対安全」はない。だが上記の3つのポイントを押さえるだけでも、一定のセキュリティ対策になり得る。

　かつては“黄金の国”といわれるほど、金や銀、銅といった鉱物資源を豊富に産出していた日本。だが現在の日本はご存じのように、鉱物資源はおろか、石油や食料などの主要な資源の大半までも輸入に頼っている状況だ。日本は気候的にも地政学的にも比較的安定しているが、こうした環境面での恩恵があっても、自国の資源だけで現在の人口を賄うことは難しい。

　それでも日本は、世界有数の経済大国として繁栄してきた。この実現に大きな役割を果たしてきたのが、日本人特有の勤勉さ、それによって身に付けた技術や知識だ。日本人そのものが、この日本を支えてきたといっても過言ではない。他国が努力を怠ってきたわけではない。ただし歴史に裏付けられた勤勉さをはじめとする日本人の特性は、特筆すべきだろう。

　日本人の特性の礎となっているのが、教育だ。江戸時代には、読み書きや計算を学ぶ「寺子屋」という簡易な教育機関が発達。支配階級にある武家だけでなく、一般庶民にも学習の機会が広がった。これは日本人の勤勉さと無関係ではないだろう。現在の日本の繁栄は、日本人の教育への積極的な投資が積み重なってできているのだ。

　この教育に「IT」という新しい風が吹きはじめた。世界を見渡すと、教育の地域間格差といった最低限の教育環境の整備にITを活用する国も少なくない中、日本のIT活用は比較的高い教育水準や学力のさらなる向上を目指している。こうした高い志に基づく教育機関のIT活用は、日本の将来に不可欠なものになるだろう。その大切な取り組みを無駄にしないためにも、セキュリティへの配慮を忘れてはならない。

　前述の通りIT活用の現場においては、セキュリティ対策以前にシステムの運用自体に大きな課題があるのも現実だ。現在の教育機関のIT活用では、それほど複雑なセキュリティ対策は必要ない。本稿で紹介した3つのポイントを押さえ、安全性を保ちながらIT活用を推進できる環境を整備していただきたい。