【システム担当者が知っておきたい企業・組織のセキュリティ教育】第2回目：セキュリティと『セーフティ』（全2回）
※本記事は、はてなブログ「ICDS Blog」から移行したものです。
インターネットやコンピューターの利活用により企業や組織の活動は大きく飛躍できる一方で、デジタル情報資産の破損や漏えいのリスクは高まるばかりです。
今回は、IPAセキュリティプレゼンターのヤマワンが、『システム担当者様が知っておきたい企業・組織のセキュリティ教育』についてお話しさせていただきます。
第1回目 セキュリティと『コンプライアンス』
第2回目 セキュリティと『セーフティ』
システム担当者のみなさん、こんにちは！ IPAセキュリティプレゼンターのヤマワンです。前回は、以下の2つの観点からセキュリティと『コンプライアンス』のお話をさせていただきました。
セキュリティ教育のカギはひとり一人の倫理観にある
「おてんとうさまが見ている」を意識して風通しの良い風土を培う
今回は、セキュリティと『セーフティ』というお話です。
企業・組織にとってのセキュリティとはなにか
あらゆる情報資産がデジタル化した今、その破損や漏えいのリスクに備えることが企業・組織の重要な経営課題となっています。このなかで、標的型攻撃メールやマルウェア感染などの悪意ある攻撃から情報資産を守ることを、セキュリティ対策とよんでいます。つまり、予測不能な攻撃に対処することで得られる安全が『セキュリティ』です。
では、セーフティとはなにか
おなじ「安全」を意味する言葉に、セーフティがあります。日本語はおなじですが、企業・組織の対策という観点からみると、少しニュアンスが異なります。たとえば、国際電気標準会議が制定した基本安全規格（IEC 61508）では、「許容できないリスクから逃れている状態」のことを、セーフティと定義しています。この基本安全規格は、機械製造や交通運輸、医療器械などの機能安全が求められる分野で広く採用されています。この観点で整理すると、セーフティとは、絶対的な安全は存在しないという前提の下で、人命保護や事故防止にむけて限りなく安全が保たれている状態のことだといえます。
悪意ある攻撃に対するセーフティ
悪意ある攻撃は、暗号化やアクセス制御などの機能安全によってリスクは限りなく避けられますが、残念ながら万全ではありません。標的型攻撃メールやマルウェア感染は予測不能であり、防御するための完全な機能はないからです。そこで応用できるのが、手順や文書化で対処するという安全ライフサイクルのアプローチになります。基本安全規格では、故障の原因を1.ランダムハードウェア故障（劣化などによる偶発的故障）と2.決定論的原因故障（仕様や運用方法に起因する故障）に分け、異なるアプローチをとっています。安全ライフサイクルのアプローチとは、2.の対処方法になります。このように、セーフティの考え方に基づいて「許容できないリスクから逃れている状態」をつくる対策のひとつが企業・組織の『セキュリティ教育』なのです。
まとめ
セーフティを高めて達成したいことは、何よりも生命の安全です。セキュリティやルールというのはそのためのものといって良いでしょう。いま、安心と安全を脅かす要因は、サイバー空間（コンピューターネットワークの世界）にもフィジカル空間（実世界）にも存在しますが、あらゆるものがつながる世界においては両者の境目はなくなり、どちらも現実世界のものとなってきます。もはや、漫画『ジョジョの奇妙な冒険』に登場するDIO様（ディオサマ）の手下にでもならない限り、永遠の安心安全を得ることは難しいのかもしれませんね(笑)。だからこそ、企業・組織では『セキュリティ教育』が不可欠であるとともに、利用者一人ひとりがセキュリティ意識を持ち、きちんと要因を理解して適切な対策を実践していくことが重要なのです。