 |
|
「第235回例会」報告 PMAJ例会部会 原 宣男 [プロフィール] ：8月号
【はじめに】 情報化社会がものすごいスピードで進化していく中で、今やセキュリティ対策は必要不可欠なものになっています。ただいくら技術的なセキュリティ対策を行っても、人が行う行為に完璧なものはなく、人に対する対策を打たなくては、思わぬところでインシデントが発生してしまいます。今回は、そんな人の行動を「セキュリティ心理学」の見地から明らかにし、セキュリティ事故とその対策について解説頂きました。以下にその概要を記載致します。 【講演概要】 情報セキュリティとは 情報は目に見えない風のようなものである。目に見えない情報は守れない為、情報と情報が保存されているものを守る。情報セキュリティとは、その情報と情報が保存されているもの即ち情報資産を攻撃から守ることである。 情報セキュリティと人の関係 国内セキュリティ調査によると、インシデントの多くは誤操作や紛失等の安全工学で考えるヒューマンエラーに起因するものである。一方で、情報セキュリティの範囲は、マルウェア感染が人に対する攻撃であるように、ヒューマンエラーの範囲を超えている。情報セキュリティは、悪意のある人が起こす攻撃も含めて、何が人に関係するかを考慮する必要がある。 海外セキュリティ調査によると、2015年度の90%強、2016年度の71%強が、人に関係するインシデントである。人の問題を考えないと、もはや技術だけでは対応できない。 ヒューマンエラー対策 ヒューマンエラーは人為的過誤や失敗(ミス)であるが、ヒューマンエラーを起こす要因として、集中力を奪う何かがあったのか、見逃し見間違いを誘う何かがあったのか、報告しづらい何かがあったのか等、最近では手続きや作業環境のまずさ、組織の対応のまずさがヒューマンエラーに繋がっているとの考えが強くなっており、直接の操作者・操縦者はもちろんのこと、管理職の意識も含め、チーム全体をヒューマンエラー防止の対象と考えるようになってきた。 悪意のある第三者の行為によるインシデント 情報セキュリティは安全工学と異なり、悪意のある第三者の行為を考える必要がある。 例えば、当事者が何かを行う場合や何もしない場合でも以下のインシデントが発生した。
悪意のある第三者が行う攻撃手段は以下のようなものがある。
悪意のある第三者からの攻撃に対する防御対策としては以下が考えられる。
教育・訓練では一般的な知見を提供する。
聴講者にビデオを見てもらい、その中で起こっていた事象について聞いてみると、はっきり写っているにも関わらず、ほとんどの人が気づかないことがある。人の目がいかに曖昧かがわかる。 【所感】 講師は「セキュリティ心理学」という情報セキュリティの世界に心理学や行動科学の観点を取り入れた第一人者で、毎月、大学の教室を借りて「情報セキュリティ心理学研究会」を開催されています。この研究会はワンコインで聴講でき、記者も時々参加するのですが、人間の行動原理や心理学に基づく情報セキュリティ対策など興味深い内容がさかんに議論されています。 今回の講演テーマは、講師がこの研究会の中で度々登場させている話題をPM向けにアレンジ頂いたものですが、情報セキュリティ対策には、いかに人に対する対策が重要であるかを初心者にも解りやすく解説頂き、またいくつかの動画を視聴することで、いかに人の感覚が頼りないかを体験できたのではないでしょうか。 研究会や海外出張のお忙しい中、ご講演頂きました講師に感謝いたします。 ※例会からのお知らせ 我々と共に部会運営メンバーとなるKP(キーパーソン)を募集しています。参加ご希望の方は、日本プロジェクトマネジメント協会までご連絡下さい。 以上
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
 |