「情報セキュリティの遵守」と「法令順守」の類似性。
どちらも
・やってはいけないこと
・やってもよいこと
・遵守することで守ろうとすること
→法律の世界で言えば「保護法益」。
があって、遵守する必要と、違反したときの罰則・懲戒が定められている。
そうなんだよ、「できること＝やっていいこと」とカンチガイしてんじゃねえよ、というあたりで余計にそう思うから頭に来てたんだ。なるほどなー。
というわけで部下・後輩として宛がって貰えるのであれば、スキルは高くなくて良いから規範意識の高い奴が欲しい。高スキル者でも規範意識の低い奴なんかイラネ。
無事に「情報セキュリティスペシャリスト」に合格！
……ま、去年「テクニカルエンジニア（情報セキュリティ）」取ったしねぇ。
旧区分の「テクニカルエンジニア（情報セキュリティ）」と「情報セキュリティアドミニストレータ」の2つを整理統合して新区分の「情報セキュリティスペシャリスト」にしており、予想していた通り、難易度的には旧区分2つの真ん中くらい。
最難：テクニカルエンジニア（情報セキュリティ）
中難：情報セキュリティスペシャリスト
普通：情報セキュリティアドミニストレータ
みたいな。ま、逆に落ちたら恥ずかしい話で。
あぁこれで新旧合わせて情報処理技術者試験で「情報セキュリティ」と名の付く3区分は制覇したことになる。
旧区分はもはや存在しないし、「テクニカルエンジニア（情報セキュリティ）」に至っては3年しか試験が行われなかったので、それなりに貴重……と言い張ってみる。
相変わらず会社から報奨金等は出ない。
ITの会社のくせに！
ウチのシステム管理者（元SE）の話。
彼は俺と同格の管理者権限（＝部内全体の管理者権限）を持っている。プライベートで「怪しげなこと」をしている噂はチラホラ聞いていたのだが、業務と無関係な領域の話である以上、干渉する余地もそのつもりもなかった。
が、事態は一変した。
部門ファイルサーバの空き領域を増やすため、全領域の全ファイルをリストアップ→ファイルサイズの大きいファイルを削除・圧縮等「狙い撃ち」する、ということをしているのだが、その過程でソイツの個人フォルダ内（※）に、
・違法複製されたと思われるゲームソフトのROMイメージ
・NintendoDSのマジコン絡みツールと思われるファイル群
・私物携帯端末用のゲームソフト
があることを発見したのである。
※個人フォルダではあるが、運用との関係で管理者権限でのアクセスはもちろん可能にしてある。
言うまでもないがこれは
・会社資産の不正使用
・各種の社内規定違反
・著作権法違反
→これは実際に「そのデータが違法複製されたこと」が確認される必要がある。
であり、要するに論外。上司に通告、対処を要請した。
当人に対する処分の詳細は把握していないが、後日確認したところ、問題のデータは削除されていた。
【教訓】
・ファイルサーバ内のデータは定期的にリストアップし、不適切に利用されていないかどうか確認すべし。
・管理者権限は複数人に持たせ、管理権限保有者の利用状況を管理者相互で監視すべし。
管理者権限を持つ者は、一般ユーザーよりも自らを厳しく律してその権限行使を行うべき、ということは一般的な要請と言って差し支えないだろう。しかし、実際にその管理者がマトモな奴かどうかは別なのである。ここについての内部統制が甘かったのは事実であって、以降はこれを念頭に運用に当たる、ということになっている。つかこんなやつ、以降は信用しないけどな。
モラルのないエンジニアに存在意義など存在しないし、認める余地もない。
コンプライアンス云々以前の話である。
そして、この件を「他愛のないこと」で片付けようとした直属上司。俺はあんたを見限った。
いくら高度な技術を持っていても、これはないわ。
「単体でのコンピューティングパワー」
よりは
「確保可能な帯域幅」
だと思う。
ぶっちゃけ、モバイルPCとしてはAtom搭載ネットブック程度で十分だったりする。
あとはVPN越しにRDPで仮想PCを使えば、自宅での作業とほぼ遜色ない環境を使えるので。
数世代前のモバイルPCでありながら、Core2Quad＋Vistaをフツーに使えてしまう、というのは、仮想化＋VPNの多大な恩恵だと思う。実際、重い作業（動画ファイルの編集とか）をさせると、差が歴然と出るのである。
そう、必要なのは「情報セキュリティガバナンス」。
企業経営の観点で情報セキュリティをどう推進するか、である。
今だ「情報漏洩防止」の観点しかない情報セキュリティ施策に明日などないし、それでは企業活動上戦えない。
無論、「情報漏洩防止」は絶対に必要。ただ、
■情報漏洩を防止するための情報セキュリティ施策
■情報セキュリティガバナンスの一環としての情報漏洩防止策
この2つの間には絶対的な差がある。組織を強くするためにはどちらを推進すべきか、は多言を要しないだろう。
みみっちく情報漏洩のみに拘泥している現状は視点が低すぎると言わざるを得ない。延々罰ゲームの如く情報漏洩防止のための研修や通達を出すのみで、「やらなければいけないこと」「面倒なこと」という扱いのうちは、情報セキュリティ施策は企業体力を削ぐのみであり、未来に繋げる、未来を紡ぐ力には成り得ない。
情報セキュリティ施策を組織強化に如何にリンケージさせるか、が求められる時代に来ている。
不景気を脱したときに伸びる企業はここに積極的な企業のはずだ。