不定期配信　マウスちゃんとメモリ主任のＩＴ１年生 ２２

情報の重要性が増す昨今、弊社では情報セキュリティについて、その意義や情報を共有する取り組みを続けています。
担当チームが社内向けにまとめた資料などを基に、軽い読み物を不定期でお届けできればと思いますので、ご笑覧頂ければ幸いでございます。

　休み明けのバタバタが少し解消されてきたかな、というある日。
　営業先から帰ってきたイーさんが、落ち込んだように肩を落としています。
「どうしたんですか、イーさん」
「・・・お客様に笑われちゃって・・・・・・」
「またですか・・・じゃなくて、何があったんですか？」
「雑談中に、今年の抱負は？って話になったんだ。会社のことかと思ったら、そういうことじゃなくて、個人的に達成したいことはって聞かれて、答えられなくて・・・年初からそんな風じゃ、何もできずに１年終わるよって笑われちゃったのが、思った以上に響いちゃって・・・・・・」
　イーさんの言葉に、マウスちゃん、きょとんとします。
「今年の目標を決めてなくて答えられなかったんですか？それなら今から決めれば・・・」
「違うよ。達成したいことはたくさんあるんだ。資格の勉強もしたいし、語学の勉強も再開したい。定期的に運動もしたいし、趣味の幅も広げたい。でも、毎年そう思っていろいろ手を付けて、いつの間にかうやむやになって達成できなくて・・・って思ったら、胸を張って答えられなくて・・・・・・」
「あー・・・そう言われれば、私にも心当たりが・・・・・・」
　二人して暗くなりかけたとき、ハッとマウスちゃんが思い当たります。
「こういう時は相談しましょう！きちんきちんと目標を決めて、着実に達成してそうな人に！！」
「え・・・それってまさか・・・・・・」

「目標を達成する方法、ですか？」
　唐突な二人の問いに、それでもメモリ主任、手を止めて向き合ってくれます。
「はい。どんなことでも良いんですけど、決めたことを最後までやり抜く方法というか・・・」
「そうですね・・・」
　メモリ主任、しばらく考えて、話し出します。
「例えば、わが社の情報セキュリティのマネジメントは運用開始から５年くらい経つのですが、その前は全くルールがない状態だったのです。」
「え、全くですか？」
「はい。情報の持ち出しひとつとっても、ルールがないから、みんな個人のＵＳＢメモリで持ち出したり、個人のスマホに会社の情報を保管したりしていましたね。大半は上司の許可を得ていたようですが、その上司の許可にしても、指針がないので、上司個人の判断で許可になる・ならないが大きく分かれていたようです。」
「上司の方の情報セキュリティに対する知識によって、判断が大きく変わりそうですね。」
「それもありますが、立場もありますね。情報に対して、すぐに使えることを優先しなければならない立場の方と、セキュリティを重視しなければならない立場の方では、当然判断が異なりますから。でも、そんな無法地帯ではいけないということで、５年かけて、今のような情報セキュリティマネジメントのシステムをつくってきたわけです。」

「そのためにやったことは、ごく普通のことです。端的に言えば

・情報セキュリティを守るために、どんな方法があるか勉強する
・課題を洗い出し、すぐ対応すべきことと、ルールをしっかりつくって対応すべきことに分ける
・すぐ対応すべきことについて、リスクを明らかにし、周知する
・ルール案をつくる
・ルールを運用する土台として、社員みなさんの情報セキュリティ知識を充実させる
・ルール案を周知し、運用することで問題になりそうなことを明らかにし、対策案を考える
・ルールの運用を開始し、課題を定期的に洗い出して、対策を考え実行する

といったことです。とは言え、まだ途上ですが。」
「途上、ですか？」
「情報セキュリティを守るうえで一番大切なことは、社員の皆さんに、ひとりも欠けることなく、当事者意識を持って頂くことです。一般社員の方に、ルールを押し付けられている、と思われてもいけないし、管理職層の方に、セキュリティに関しては担当部署に任せてある、と思われてもいけません。誰かひとりでも、やらされている、任せている、と思う人がいると、そこに穴ができてしまいますから。」
「難しいですね。どうしても、言われているからやっている、と思ってしまいそうです。」
「意識を変えて頂くためには、言い続け、発信し続けていくしかないと思っていますが。」

　参考にはならなかったかもしれませんね。少し申し訳なさそうにそう言ったメモリ主任にお礼を言って、二人は自席に戻ります。
「個人の目標も、達成できないのは当事者意識の欠如のせいかもしれませんね。自分の決めた目標のはずなのに、やらされてる感があったのかも。」
「言い続け、発信し続ける、って言われてたのも参考になるよ。でも、メモリ主任って、どうやって継続されているのかな？」
「どういうことですか？」
「個人の目標ならご褒美があるでしょ？達成感とか、もっと具体的に、試験に受かったら美味しいもの食べよう、とか、遊びに行こう、とか。そのご褒美を目当てに継続しようって思えるけど、メモリ主任の場合はそれがなさそうだから。ただ仕事だから、っていうのとも違いそうだし。」
「義務感、ですかね？」
「あるいは責任感？だとしたらすごいよね。」
　僕もご褒美なくても頑張れる、を今年の抱負にしようかな。
　え・・・。
　え、その沈黙はひどくない？
　そんな会話を交わしながら、自分たちは情報セキュリティに対して当事者意識を持とう、と確認しあう二人なのでした。