情報セキュリティの新たな脅威
今年最後のコラムとなる本稿において、ぜひ皆さんに真剣に考えていただきたいテーマ、経営者と協議いただきたい事項を述べさせていただきたい。それは、セキュリティ・クリアランスに関してである。
セキュリティ・クリアランスは、高市早苗経済安全保障担当大臣が絶対に必要と訴え、法案成立を目指しながら、現段階ではいまだ現実になっていない。国家として及び腰になっているといってもよいであろう。
スパイ防止法も同様である。多くの国家で当たり前のように法整備し、制度として運用されているのだが、日本では十分とはいえない状況にある。
国家機密に対してでさえそのような状況なのに民間企業に何ができる、という反論もあるかもしれない。個々の企業がグローバル化対応を進めてきたなか、カントリーリスクの高い市場への依存度が極めて高い企業が少なくない状況で、現実策は限られるとの反論があるのは事実だろう。米国が行う輸入規制などを日本で厳格に行えば、経営が行き詰まる企業が少なくないのが現実だからだ。
それでも筆者は、真剣にリスク観点で検討しなければならない状況にあると思っているので、あえて述べさせていただく。
情報セキュリティにおいて、筆者は内部不正に対する対策は「性弱説」にもとづく組織風土改革が重要であると訴えてきた。が、実はそれを上まわるリスクがある。それは法的な強制やその基盤となるアイデンティティである。
グローバル化を実現している企業においては、社員の国籍も多様化しているだろう。たとえ日本国内の事業組織であっても多国籍の社員は存在する。その社員は企業の内部ルールや風土を損なわない善良な人物を起用されているだろうし、むしろ日本人よりも勤勉で優秀、真面目に社内ルールを順守している場合が多いと思う。
彼らは当然、日本の法律に則り、コンプライアンス順守の姿勢も損なわないだろう。しかしそれでも、最終的に母国の法制度による縛りは免れない。例えば、中国における「国防動員法」や「国家情報法」などだ。また法律ではなくとも、信教上の戒律に縛られる例もあり、それがすべての判断基準になっている場合もあるだろう。
どれだけ「性善説」を形にしたような人物であっても、国家の法制度による義務や強制に対しては、その行為自体が「善」となるのであり、頭では理解していても、我々の認識とは異なる判断がなされるのは仕方がない。多神教国家である日本人にはわかり難いかもしれないが、宗教上の戒律も同様に、人としての善悪判断の基盤になる。
その人物の置かれる状況を考えれば、我々が常識を逸脱すると考えてしまう判断もあり得てしまい、そのことで個人を責めることはできないともいえるのだ。
発覚しない情報漏えいの方が深刻
そうはいっても情報漏えいの事実やインシデントは今まで確認できていないので、他国の法規制による強制事案は現実のリスクとは見なせないという反論もあるかもしれない。しかし、よく考えてほしい。情報漏えいが発覚する時の特徴を考えれば理解いただけると思うが、一般的に漏えいの発生と発覚には時間差がある。これは、他の多くのリスク事案と異なる点だ。
情報を盗み出す側の視点で考えればわかりやすいと思う。身代金要求などの事案は別として、情報を盗み出すのは発覚しないように秘密裏に行うものである。劇画的に、スパイ大作戦よろしく大胆に盗む事例の方が稀なのだ。つまり、長年にわたり少しずつ、定期的に、できるだけ発覚しないように盗み出すのが当たり前である。
だから、米国などはことさら通信機器などの規制を強めるのだ。密かに通信機器の組み込みシステムにバックドアを仕掛ける、あるいは機器導入後あらかじめ認識していた脆弱性を突く攻撃を仕掛けられるリスクを考慮し、それらに対する対策が及ばないメーカーの製品を制限するのである。常態的に情報漏えいリスクを負うことを回避する策として。
しかし日本では、政府系の調達には規制があっても、民間はまったく無関心で、米国で規制されている通信機器も広く出まわっている。
普通に考えるだけでも、ネットワーク機器や監視カメラ、複合機、パソコンなどは本来要注意で、脆弱性の観点から情報資産として管理、規制すべきであることはこれまでも述べてきたが、その脆弱性判断基準の再検討は必要だろう。クラウドサービスの利用においても同様であり、加えて人物そのものに対するセキュリティ・クリアランスの観点も必要不可欠なのだ。
企業が守るべきモノ
企業は自社の従業員を守るのが当然であろう。それは自社の機密情報を守る以上に大切であることはいうまでもない。そのためには労働環境の整備や働き方改革、教育・キャリア支援も重要だが、生命・財産の安全確保が最重要であることもまたいうまでもないだろう。
ゆえに必要不可欠なのは、事業展開する市場や生産場所である現地の状況、雇用する従業員の基礎情報の把握であり、それをリスク観点で評価することである。法律や信教の違いによって生じる善悪判断の違いなども考慮すべき時代になっている。
例えば他国の「反スパイ法」である。この内容に関わるリスクを甘く見てはいけない。企業にとって当たり前の事業活動で知り得る情報を持っているだけで、あるいは持っていると思われるだけで、検挙され拘束される可能性もあるのだから。
実際、中国政府に拘束されている日本人は少なくない。容疑の実態は不明だが、「反スパイ法」に照らし合わせればある程度リスク想定はできる。それは、日本人の感覚としてスパイ行為では決してない事業活動においても起こり得ることを理解する必要がある。
逆のいい方をすると、企業が自社従業員の担当業務の内容を考慮すれば、そのリスク度合いもある程度想定できるはずだ。実際に拘束された事例に対して、オープン情報だけでなく仮説レベルの情報もふまえれば事由が想定できるケースもあり、リスクとして考慮するべきなのだ。
だとしたら、企業として事前のリスク低減策が必要になるだろう。それは自社従業員の安全を守るためである。情報漏えいなどのセキュリティリスクに限らず、大きな意味で、企業のリスク管理として必要だ。世界を見渡すとテロや戦争が普通に起き、日本の輸送船も拿捕されるなど、直接の被害も発生している。
また、他国でテロ認定され資産凍結された組織や人物が日本で普通に活動をしている現実も明らかになった。他国と日本国家とでは認識が異なるかもしれないし、現実にそのことが直接テロにつながり治安に影響を及ぼすかは現時点では不明である。それどころか、まったく逆のケースで、その国家による弾圧、人権侵害の場合もあり得るだろう。それらは簡単に見分けることができないかもしれない。
しかし、情報として認識した上で、さらなる多様な情報収集を心がけ、分析の上、リスクをどうみるのか、個々に判断すべき時代ではないだろうか。
