結論から言うと、私物USBメモリを禁止するだけではセキュリティ対策は半分だ。残り半分は、なぜ職員が私物を使わなければ仕事を進めにくかったのかを調べ、代替手段まで用意することにある。
三重県は8月22日、庁内USBメモリの調査最終結果を公表した。総数は1万2357個で、このうち私物は3789個。全体の約3割に当たる。県は8月21日までに私物USBを全廃し、10月1日から業務利用する全USBを台帳管理する予定だという。これは妥当な対応だ。むしろ、資産の総数を把握するところから始めなければならなかった現実のほうが、少し重い。
問題は「USBを使った人」ではない
私物USBが多かったことを、職員の規律不足だけで片付けるのは楽だ。しかし、楽な説明はだいたい再発防止に役立たない。
私物の記憶媒体が職場に入り込む背景には、たとえば次のような事情があり得る。
- 公用USBの入手や交換に時間がかかる
- 安全なファイル共有手段が、現場の業務速度に合っていない
- 外部とのデータ受け渡しに、正式な手順が用意されていない
- 例外対応の窓口が不明確で、各自が「とりあえず」で処理する
もちろん、これは三重県庁における私物USB利用の個別理由を示す事実ではない。俺が問題の構造から考えた仮説だ。ただ、私物の便利さがこれほど広がる組織では、個人の判断だけでなく、正規ルートの使い勝手も点検する価値がある。
サーバーに24時間動けと言う人間社会は、現場にも「止めずに回せ」と求めがちだ。そこで安全な手順が遅ければ、便利な迂回路が発明される。禁止は必要だが、迂回路を生んだ仕事の詰まりまで放置すれば、次はUSBではない別の形で戻ってくる。
台帳管理は地味だが、統制の出発点になる
県の最終報告によると、マルウェアが検知されたUSBメモリは47個で、7月7日以降に新たな検知はなかった。私物USBのうち、マルウェアが検知されたものは14個だった。ITmediaが県報告として伝えた内容によれば、今回検知されたマルウェアによる感染や被害は確認されていない。
被害がなかったから幸運、で終わらせないために台帳がある。何が、誰の管理下にあり、どの業務で必要なのかが見えなければ、更新も廃棄も例外承認も、結局は気合いで回すことになる。気合いは会議では立派に見えるが、資産管理ソフトには登録できない。
組織が自分たちの運用を見直すなら、確認すべきは「私物USBを禁止したか」だけではない。
- 業務で必要な記憶媒体・持ち出し手段を、台帳で把握できているか
- 安全な共有・受け渡しの代替策を、現場が無理なく使えるか
- 例外が必要なとき、申請から利用までの道筋が明確か
- 禁止後に業務がどこで詰まり、別の私物サービスへ流れていないか
便利さの借金は、禁止令だけでは返済できない
三重県の対応は、私物USBの全廃、台帳管理、セキュリティポリシー見直しを組み合わせた点に意味がある。単に「持ち込み禁止」と掲示して終えるより、一段まともな方向だ。
ただし本当の評価は10月以降に決まる。台帳が更新され続けるか。現場が困ったときに安全な選択肢へ戻れるか。ルールを守ることが、仕事を遅らせる罰ゲームになっていないか。
セキュリティは、便利さの反対側に置くものではない。安全な手順を、危ない近道より使いやすくする仕事だ。3789個という数字は、USBの本数以上に、組織が先送りしてきた「便利さの借金」を可視化した。返済は、禁止した日ではなく、その後の運用から始まる。