これまでの製品は「セキュリティを守るため」という能書きは素晴らしいのですが、その分製品の理想とする形で運用しようとするとルールが煩雑すぎました。一般論ですが、ルールが煩雑になると、ユーザは抜け道を探し出すようになります。それでは、製品を導入する意味がないどころか「単純に会社のPCの使い勝手が悪くなった」ということになってしまいます。
―SePをご選定いただいたのはどういう理由だったのでしょうか。
田代氏 セキュリティを意識させることと、ルールが簡潔なことですね。まず、当社が注目したのがSePの唯一のルールである「リリースフォルダ」です。SePは外部へデータを持ち出すためにリリースフォルダを経由する必要があります。このようにひとつの行動を挟むだけでも、社員が常に情報セキュリティの存在を意識することにつながると考えています。しかも逆に言えばルールは「持ち出す際はリリースフォルダを通す」だけで済みます。さらに情報の流出経路を担保するのも、リリースフォルダを監視するだけで可能になる、という点を高く評価しました。
望月氏 ログについても、以前のツールでは、抜き打ち的なチェックですら、抽出するのに大変時間がかかり、イレギュラー時にそこから探り出すと言うことが関の山でした。
現在では、毎日リリースフォルダのログをざっと眺めて、不審な点を見つけたら情報システム課に連絡して詳細を調査してもらう、ということができるようになりました。リスク管理の一環として、リリースフォルダのログを監査部門と情報システム課門が連携してモニタリングできる仕組みを構築しています。
―導入の際、社員の方にはどのように教育・啓蒙されたのでしょうか。
望月氏 導入時は社内に対して、SePの使い方を教育しました。新入社員に対しては、上長から教育させるように徹底しています。ただ、課題として社員間でITリテラシーの差異で、理解の浸透にどうしても個人差が生じてしまいます。
そうした導入時の教育での気付きをもとに、社員に情報セキュリティに対する理解を浸透させるためにも定期的に啓蒙のための社内セミナーの開催も企画しています。最初はリリースフォルダを通すことですら手間になったと思う社員もいましたが「利便性が高まれば、それに伴って意識を高めなくてはならない」と啓発しました。セキュリティを施せばある程度不便はある、ということは教育の中で繰り返し伝え、ある程度浸透してきたと思います｡
