私がエンジニアとして社会人になった1990年代、システム構築の手法（？）の一つに「エンドユーザーコンピューティング」というものがありました。実際には単にデータをCSV形式で利用者に提供する機能を設け、Excelなどのスプレッドシートで読み込めるようにし、利用者自身でさまざまな処理や解析を行えるというものでした。いまではセキュリティ的にも少々問題がある機能ではあるものの、RPA、ひいてはDXにつながる流れといえるかもしれません。エンドユーザーである利用者自身が一番欲しいものを、自分自身の手で作るというものです。

　先の年金機構のシステムにおいても、一定の業務においてデータを取り出し、それを元に作業を行う仕組みがありました。しかし、その中間ファイルと言えるようなものがPC内に残っていたことが、漏えい事件につながっています。おそらく、こういったことは年金機構だけではなく、多くのシステムであり得るのではないでしょうか。

　システム上そういった業務が想定されているならまだしも、現場の判断でそういったことが行われていることもあるでしょう。例えばネットワーク上完全に分断されているにもかかわらず、その区域をまたいだデータ処理を行いたい時など、本来は接続してはいけないネットワークにPCを直結し、データをコピーするなどです。さらには、PCに詳しい人が分断されているはずのネットワークに手を加え、直結してしまうこともあるかもしれません。こういった行為は、簡単にできてしまうかもしれませんが、やってはならないことです。

　オフィスにまだ無線LANがないからといって、自分のデスクにあるイーサネットケーブルをPC本体から抜いて無線LAN親機につなぎ、無線化を行ってしまうこと自体は簡単です。が、これを行ったとき、あなたの組織のセキュリティはそれだけでズタズタになってしまう可能性があります。便利だから、できるからといってネットワークを変えてしまうと、例えばそのルーターを踏み台にし、勝手に無線LANに接続されてしまうかもしれませんし、ルーターそのものがアップデートされないことで攻撃の対象になってしまうかもしれません。

　よくできた情報システム部を持つ組織であれば、そういった野良ルーターを追加した瞬間に、システム担当者からの指摘がされるはずではありますが、普段の状況をちゃんと監視していなければ、その指摘すらできないでしょう。怒られていないから大丈夫と思わず、私たち利用者も組織のセキュリティを保つため、勝手なことをしないようにしなくてはなりません。

　セキュリティを保つためには、セキュリティ担当者だけでなく、全ての利用者自身が少しずつ歩み寄り、安全を確保する必要があるのです。