新章 第八話 人間の注意力では守れない システム設計という見えない責任
第八話 人間の注意力では守れない
システム設計という見えない責任
情報流出やサイバー攻撃が発生すると、私たちは、しばしば人間の失敗に目を向ける。
担当者が設定を間違えた。
パスワードの管理が不十分だった。
不審なメールを開いてしまった。
警告に気づかなかった。
たしかに、人間の判断や操作が事故のきっかけになることはある。
しかし、そこで話を終わらせてしまってよいのだろうか。
人間は間違える。
忙しければ確認を省略することもある。
複雑な仕組みの全体像を把握できないこともある。
何年も前に決められた設定が、現在の環境に適しているかどうか、担当者がすべて確認することも容易ではない。
それは、個人の能力や責任だけで解決できる問題ではない。
そもそも、巨大な情報システムを、人間の注意力だけで守ろうとする設計に無理があるのではないか。
## 事故を起こさない努力と、事故が起きても破綻しない設計
情報セキュリティには、二つの異なる考え方がある。
一つは、事故を起こさないように人間が注意すること。
もう一つは、人間が間違えたり、攻撃者が侵入したりしても、被害が全体に広がらないようにシステムを設計することだ。
前者は必要である。しかし、それだけでは十分ではない。
たとえば、ある一台の端末が侵害されたとき、その端末から社内のあらゆるシステムへ自由にアクセスできるとしたらどうだろう。
一つのアカウントが奪われただけで、重要なデータに手が届くとしたらどうだろう。
バックアップまで同じ権限で操作でき、ネットワーク上で簡単に到達できるとしたらどうだろう。
この場合、担当者がどれほど注意していても、一度の侵入が重大な被害につながる可能性がある。
だからこそ、必要なのは、権限を必要最小限に抑えること、システムを適切に分割すること、重要な操作を分離すること、そしてバックアップを攻撃から守ることである。
侵入を完全に防ぐことだけを目指すのではない。
侵入されても、すべてを失わないようにする。
それが、設計に求められる重要な役割だ。
## 企業統合は、複雑さの統合でもある
第七話で考えた、企業の統合という問題に戻ろう。
企業は、買収や事業再編によって大きくなる。
しかし、企業の看板が一つになったからといって、内部の情報システムまで自動的に一体化するわけではない。
異なる時代に構築されたシステム。
異なる運用ルール。
異なるアクセス権限。
異なる保守体制。
そして、異なる責任の所在。
それらを接続すれば、事業の効率は高まるかもしれない。一方で、接続点が増えるほど、管理すべき関係や依存関係も増えていく。
ここで問われるのは、統合したかどうかだけではない。
何を統合し、何を分離し、どこまで全体を把握できているのか。
古いシステムを残すのであれば、そのリスクを誰が管理するのか。異なるシステムを接続するのであれば、その接続をどのように監視し、万一の際にどこで切り離すのか。
こうした問いに答えられなければ、企業の規模が大きくなることと、情報を安全に管理できることは、別の話になってしまう。
もちろん、企業の成り立ちが複雑であるという事実だけで、特定の情報流出事件の原因を断定することはできない。
必要なのは、実際に何が起きたのかを検証することと、組織の複雑さがどのようなリスクを生み得るのかを考えること、その二つを区別する姿勢である。
## 人間に責任を負わせるだけでは、設計は変わらない
事故が起きたあと、担当者のミスを見つけることは比較的容易かもしれない。
しかし、なぜそのミスが重大な被害につながったのかを調べるには、もう一段深く掘り下げる必要がある。
なぜ、一人の担当者が広範囲の権限を持っていたのか。
なぜ、異常な操作を検知できなかったのか。
なぜ、被害を局所にとどめることができなかったのか。
なぜ、システム全体の構造と依存関係が把握されていなかったのか。
これらは、現場の担当者だけに尋ねても答えが出ない場合がある。
設計を決めたのは誰か。
必要な予算を配分したのは誰か。
統合の期限を設定したのは誰か。
古い仕組みを維持するリスクを承認したのは誰か。
システムの安全性は、現場の努力だけで決まるものではない。設計、予算、運用、経営判断が重なった結果でもある。
だから、事故の責任を個人に押しつけるだけでは、同じ事故を防ぐ仕組みが残らない。
人間の注意力を高めることと、人間の注意力に依存しすぎない仕組みをつくること。
両方が必要なのだ。
## 巨大なシステムを、本当に管理できているのか
企業が巨大化すると、事業の全体像を把握することは難しくなる。
システムが増え、接続が増え、委託先が増え、管理するデータが増える。
その一方で、経営陣が目にする報告書には、管理状況が整理された数字として並ぶ。
しかし、報告書に数字が記載されていることと、現実のシステムが正確に把握されていることは同じではない。
管理対象がすべて洗い出されているのか。
不要になったアカウントや接続が残っていないか。
バックアップは本当に復旧できるのか。
障害や侵入が発生したとき、どこまで影響が広がるのか。
それらを確かめるには、組織として継続的に検証しなければならない。
巨大企業に必要なのは、優秀な担当者を集めることだけではない。
担当者が替わっても機能する仕組みをつくり、想定外の事態が起きても被害を抑え、システムの変化に合わせて設計を更新し続けることだ。
人間は、複雑さを完全に記憶することはできない。
だからこそ、その限界を前提にシステムを設計しなければならない。
情報セキュリティの問題は、誰が不注意だったのかという問いだけでは終わらない。
**そもそも、人間が一度間違えただけで、取り返しのつかない被害が起きる仕組みになっていなかったか。**
その問いを、事故が起きる前から投げかけられるかどうか。
それが、企業の情報セキュリティを考えるうえで、見落としてはならない視点なのである。
