おこちゃまな国、日本の情報セキュリティ

こんにちは、渋屋です。

今日は仲間の小嶋さんとランチ。鶴群丸の内オアゾ店にて。
いつも通り、色々と情報交換させて頂きました。小嶋さん、ありがとうございました！

過保護な国、日本

Chikirinさんのブログにこんな記事（日本はおこちゃまの国）がありました。

日本の過保護っぷりをうったえるものです。

規制が増える理由は、「国民を守る」ためではなく、「自分が管理責任を問われるとイヤだから」だったりする。

何かあったとき、すぐに誰かに責任を問おうとする人と、ぜったいに責任なんて問われたくないと思う管理者が多すぎて、どんどんおこちゃまの国に向かってる。

だいたいね。「自己責任」という言葉を、否定的な言葉だと思ってる人がこんな多い国も珍しい。本来、自己責任というのは、個人が自分の責任の範囲において、自由を謳歌できるって意味なのに。

情報システムも状況は同じ

この記事を読んで、情報システム・情報セキュリティでも全く同じことが言えるのでは？と感じたのでした。

日本の多くの企業が、セキュリティルールを守るための運用ルールが煩雑です。あまりに煩雑すぎて「パソコンを使うのを止めた方が効率的なのでは？」と疑いたくなるほどの企業もあります。このような企業では、以下のようなルールが一般的に規定されています。

会社支給以外のデバイスは一切利用禁止
もちろん、BYOD（私物端末の業務利用）の活用は検討すらされない
会社標準アプリケーション以外の利用は一切禁止
インターネット閲覧は出来ないように制御
クラウドストレージの利用など論外
会社から社外へ端末を持ち出すときには、複雑な持ち出し申請処理が必要

日々、ITをフル活用して仕事をしている人から見ると、信じられないほどルールに縛られています。もちろん、業務内容によっては一定の規定が必要です。しかし、「そこまで縛らなくて良いんじゃないの？」と思うケースが多いのです。

このようなルールが多くなるのは、Chikirinさんが書かれている通り、「自分が管理責任を問われるとイヤだから」と考える経営層・システム部門が居るからでしょう。

何かあったとき、すぐに誰かに責任を問おうとする人と、ぜったいに責任なんて問われたくないと思う管理者が多すぎて、どんどんおこちゃまの国に向かってる。

のです。自然の恐ろしさを知り、「自分の命を守るのは、規則じゃ無くて自分だという意識をもつ」必要があるのと同様、「情報セキュリティを保つのは、規制じゃ無くて自分だという意識をもつ」必要があるのでしょう。

もっとルールを撤廃してみたら？

Chikirinさんが書かれている通り、不必要なルールの存在は、その人たちをおこちゃまにします。
不必要なルールに縛られた結果の１つが、日本の低い労働生産性なのではないでしょうか？OECD加盟国34ヶ国中、国民１人当たりGDPで、日本は18位です（2012年）。1997年の８位を最後に、ずっと労働生産性が低い国なのです。パソコンを外部に持ち出すために、持ち出しデータのリストアップ・ウイルススキャン・書類申請・上長承認などをしていたら、あっという間に数時間経ってしまいます。その間、IT運用に成熟した企業は次の仕事をこなしているのです。

日本が生産性を高めるためには、もっとルールを撤廃してみたら？と思います。働く人、１人１人がおこちゃまから脱却し、自己責任で情報システムを活用する。そんな日本に早くなれたらいいな、と思います。