見知らぬ言葉、理解しにくい事象にぶつかったとき

　今回の事件は、さまざまな気付きを与えてくれました。まずは製造業にも大きく関係する「サプライチェーンに関連するトラブル」をどう捉えるかです。実は今回の問題はツールが悪いというよりも、日本のIT業界の「構造」つまりサプライチェーンの問題と捉えるべきです。ITは多重下請け構造であることが多いため、発注側と実際の作業者が遠く、管理し切れていないという事象です。

　ここにはツールによる対策として「DLP」（情報漏えい防止策）のような、本来外部に出てはいけない情報がローカルPCに保存されたときに警告を出すような仕組みがあれば起こりえません。しかし、大企業においてもサプライチェーンの末端までその仕組みを適用できていないことを意味しています。そうなると今度は関係各社、作業者に至るまでモラルを浸透させるしかありません。果たしてそれを、紙芝居的なオンラインセミナーと数問のクイズだけでカバーできるものなのでしょうか。その結果が、今回の事件だとすると非常に頭が痛い問題です。それでも、全ての関係者がこういったリスクを学び、リテラシーを向上させていくという正論を書き続けなければなりません。究極的にはこれしか解決策がないからです。

　そしてもう一つ、今回初めて「GitHub」という言葉を知ったという方には、初めて知ったことを敵とするのではなく、できる限り自組織内でそれを熟知している人を探し、それを止めた場合にどんな問題が発生しうるかをすぐにチェックできる状況を作っておいてほしいのです。GitHubであれば、社内にいるエンジニア（もしくはプログラミングに詳しい従業員）に聞けば、それを止めたらどうなるかはすぐに分かるはずです。これこそが、今の組織に必要なコミュニケーション能力なのではないかと思います。

　さらに、これまで何の対策をしていなかったものをある日止める、制限するという決断を行った場合、それによってさまざまな弊害が発生することを想定し、現場からの声がしっかり経営層に届くかどうか、ボトムアップのルートを作っておくことを強くお勧めします。今回事象が発生したタイミングから、CSAJのような組織がお願いを発行するまでは1週間弱の時間がかかっています。このドキュメントがあれば経営層も理解はできるかと思いますが、通常であれば止めた数十分後に現場から悲鳴が上がるはず。その際に現場の声を聞き、行った判断を変更する／修正するという柔軟さが組織には求められます。その際、「危険だからとシャットアウトする」以外の選択肢を考慮しないのは、現場をつぶすのと同じ意味を持ってしまいます。ぜひ、もう一歩進めて事象を把握できるようにしておきましょう。

　「GitHubにソースコードが流出しないよう、GitHubへのアクセスを止める」のは、素早い対応には見えますが、「やったつもりのセキュリティ」であり、そもそもソースコード流出の対策にはなっておらず、Pastebinをはじめとする他のテキストデータ保存サイトへはいくらでも流出可能なままです。その全てに、一つ一つ対処することは得策ではないでしょう。

　なにか大きな事件が起きたとき、見知らぬ言葉、見知らぬサービスがニュースに記載されていた場合、真っ先に止めるが正解の場合も少なからずあります。しかし、早急に決断したものは柔軟に調整可能な余地を残しておくことが、このような事件への正しい対処なのではないでしょうか。いまできることは、そういう事件が起きたときに相談できる人や組織をあらかじめ整理しておくこと。仲の良いSI事業者は、そういうときのためにいるはずです。

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！