セキュリティの進め方（１）

　セキュリティ対応に関するルールづくりは、通常の社内でのルール作りと法律上でルールを作る場合は、ちょっと考え方は違います。

　今回はセキュリティ対策を政策など、全体で進める場合の進め方について何回かに分けて、私案をまとめてみたいと思います。

　まず本論に先立ち、社内でのセキュリティ統制であれば、以下のような３ステップをイメージするとします。

①ポリシーや規約をまとめる。必要に応じてなぜこのルールが必要なのか、対象となるリスクを明示しておく。

②各組織で個別にセキュリティ推進を待つ。必要に応じて第２ラインが必要な支援を行う。

③監査権限を持つ組織が、独立して監査を行い、第３者視点での支援を行う。

※第２ラインも、第３ラインも、現場の人からすればうるさい存在かもしれませんが、「支援」ですからね。

　これに対して、法律上のルール設定の場合には、以下のような手順が必要です。

　例えば、セキュリティ対策の場合、組織外の人向けのセキュリティ対策を進めようとすると、通信の秘密が障壁になることがあります。

まず日本国憲法第21条2項で検閲の禁止の中で、通信の秘密に言及されています。

第二十一条　集会、結社及び言論、出版その他一切の表現の自由は、これを保障する。 ②　検閲は、これをしてはならない。通信の秘密は、これを侵してはならない

次に、電気通信事業法第4条で、秘密の保護の規定があります。

（秘密の保護）

第四条　電気通信事業者の取扱中に係る通信の秘密は、侵してはならない。

２　電気通信事業に従事する者は、在職中電気通信事業者の取扱中に係る通信に関して知り得た他人の秘密を守らなければならない。その職を退いた後においても、同様とする。

　つまり、サイバー対策を進めるにあたり、通信事業者を枠組みに加えると非常に対策が進みそうなのですが、特定の通信に通常通信との明確な区別がなければ、サイバー攻撃も通信の一部として、日本の法律の規定の中では、憲法並びに電気通信事業法の中で通信の秘密を侵していないことを明示する必要があります。

　しかし、いくらこれでは、何もセキュリティ対策が進まないのではないかとのことから、上記の法律の違法性が阻却される例が規定されています。（違法性が阻却されるだけで、業務でも無ければ、褒めてもらえるようになると、もう少しみんなのモチベーションが上がるように思うのですが。）

　この、通信の秘密への対応は、サイバー対策に通信事業者を加えるときの、対策を検討する前提条件というか、環境条件のように考えていただければいいと思います。

　ここまでが、基本的な枠組みなので、次からは、具体的な事例に即して、考えを整理してみたいと思います。

青葉台駅伝言板