2009_01_05－リスクの洗い出しと対策の頻度。

２００９年１月５日発行

分割ラインです

　《　セキュリティ管理編　》
　
　リスクの洗い出しと対策の頻度。
　　
　　
　　セキュリティリスクは、ライフサイクル毎に洗い出すのが基本です。
　　　個人情報に限らず情報のライフサイクルとは、
　　　　　情報を新規取得から廃棄までの間に発生するイベント（作業内容）
　　　　　を指します。
　　　
　　　　１．新たに取得する。
　　　　２．コンピュータに入力
　　　　３．移送（社外へ持ち運び）
　　　　４．送信（メールやファイル転送などの電子的送信）
　　　　５．利用（個人データを宛名印刷などで利用）
　　　　６．加工（個人データをExcelなどで分類や集計など加工）
　　　　７．保管（個人データを電子媒体や紙媒体で保管）
　　　　８．バックアップ（ＣＤ等の外部記憶にバックアップ）
　　　　９．不要になり個人データの消去
　　　　１０．保管媒体などの廃棄
　　
　　　　この新規から廃棄までをライフサイクルと定義しています。
　　
　　このそれぞれの場面でのリスクは、
　　　　　一度に全てを洗い出せるとは限りません。
　　　　　作業手順や方法が変れば、リスクも変化します。
　　　　　外部の変化も大きく影響します。
　　　　　技術の進歩もリスクに大きく影響します。
　　
　　
　　常に脅威は、周囲の変化について回ります。
　　　一度リスク対応を行っても、１週間で変ることもあります。
　　　１０年たっても同じものもあります。
　　
　　リスクは、人間が活動する限り果てしなく変化していきます。
　　
　　多くの方は、監査が発生する時、
　　　　　　　　Ｐマーク更新時
　　　　　　　　問題が発生した時
　　　　　　　　　　　リスクを見直せばよいと考えてしまいがちです。
　　そして
　　リスクの見直しも、責任者だけが行えばよいと
　　　　　　　　　　　　　　　　思ってしまっています。
　　
　　手遅れや対応が後手にならないように
　　　　従業員の全員がリスクを考えて、対策の立案をしましょう。
　　
　　
　　
　　
　　
　　でも
　　全員がリスク対策を考え始めると、
　　　　　　　　必ず費用がかかる対策案を考えはじめます。
　　　　やっかいなことに、
　　　　　　費用が発生する対策案以外は、考えられないことが多いのです。
　　　　　　費用対効果と自社体力を無視した対策案になってしまいます。。
　　
　　
　　対策内容は、ピンキリに存在します。
　　　　高価な対策を導入しても、運用がまずければ効果は発揮できません。
　　　　安価な対策でも、運用によって高価な対応策以上に効果が出ることも
　　　　あります。
　　　　
　　　
　　また対策を導入すればするほど、今度は逆に運用が回らなくなってきます。
　　
　　　　理想と現実の妥協点を見出し、費用が最少でも、その中で効果がある
　　　　対応策を決めなければなりません。
　　　　
　　これは社内の業務に精通している人でなければ判断できません。
　　
　　運用を確実にまわすためには、
　　　　　　それぞれの役割分担と責任を明確にして、負荷が特定の個人に集中
　　　　　　しないようにすることが、安定して長く運用するコツです。
　　
　　一度に完全を目指さないことです。
　　　　こう考えると高価な対策を無理に実施するということもなくなります。
　　　　状況が変化すると、高価な対策が無意味になることもあります。
　　
　　　　　徐々に方向修正しながら、レベルアップしていけばいいのです。
　　
　　
　　
　　
　　そのためにも、常にリスクを見直す習慣をつけましょう。
　　　　これは、プロジェクト運営にも共通して言えることです。