情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告

企業におけるSNSリスクリテラシーと対策の研究

システム監査学会
情報セキュリティ対策の診断研究プロジェクト
SNSリスクリテラシー研究会©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告

昨年の研究から前回大会の内容

SNSの急速な普及で多発する問題発言

私的な問題に留まらない企業への影響

企業のSNS管理の責任や教育、監査のあり方

前回の研究大会後（2012年7月11日）に、大会報告の内容を再構成した内容で、当研究メンバー以外の学会員も参加いただいてディスカッション。

ディスカッションの議題

社員の私的なSNS利用に対し、企業はどこまで責任を持つのか。
 就業規則で定める懲戒の事由にあたる事例であり、罰則であれば十分ではないか（過失による会社への損害、素行不良で社内の秩序及び風紀を乱したとき）。
 罰則とは別に、不適切な発言によって、誰もが被害を被るため、安易な発言によって社員を不幸にしないためにも一定の教育が必要ではないか。
1©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告

SNS利用における社員のリスク領域【 昨年２月以降にTwitter上で発生した、学生アルバイトを含む社会人の事件１7件の傾向 】
リスク発信の種類

発言する者の立場

件数

リスク領域

業務で知り得た情報を発信

社員

1件

情報セキュリティ

ユーザーとのチャットや人の意見に対する攻撃的な発言

社長や政治家など社会的地位が高い者

8件

ITリテラシー

犯罪の告白など
本人のモラルに関わる発言

アルバイト、社員8件

ITリテラシー

SNSを起因とした問題に対してモラル、人間性の問題として、従来の情報セキュリティ教育でカバーしない部分が発生プライベートな領域には触れない。
モラルや一般常識は、当たり前の事として省略し、教育が不十分。
2©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告

ポジションに応じて求められる対応
社会や組織への影響

高

SNSにおける高リスク
経営層
立場を踏まえた発言、クレーム処理の技術管理者
SNSにおける高リスク
一般社員
アルバイト

SNSの利用によって生じるリスクと対策の知識と実行

派遣社員
社会人としてのモラルある発言

組織上の地位高3©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告

企業の立場で発言する者も増加
SNS情報発信者

手軽に誰もが無料で参加できる

6000

FacebookやTwitter等を中心にSNS

4000

利用者の人口増加とともに、情報の2000

発信者も比例して増えている。

SNS利用者

5060
2310

2170

3530

1600

1650

22000
2009年

2010年

2011年

3290
2012年

【インターネットメディア総合研究所 「インターネット利用動向調査」より】

利用者増と比例して、増える企業の公式なSNSサイトの開設

身近な者への発言感覚で相手への配慮が不足

公式SNSの開設によって、企業コンプライアンスに増える企業のSNS担当者不十分な者が担当する機会

公式でありながら、個人の立場でクレームの窓口として用いられ、対応を見誤る意見が分かれる内容を発言
4©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告

SNSの利用によって顕在化するリスク
従来、組織がセキュリティの対象とした情報資産は、識別、分類により定義された情報 （文書、個人データ、営業機密ファイルなど）。

個人的に見たり聞いたりした情報を、公私を問わずに業務プロセスとかけ離れた場所で発してしまう情報SNSの利用拡大に伴う、情報セキュリティ上の新たな対応として、次のリスクが挙げられる。

① 発信者本人にとっての想定外な情報拡散へのリスク② 価値観の多様化された大衆への情報発信リスク③ プライベートとオフィシャルのボーダレスと曖昧さ④ 問題収拾への対応能力の不足でのリスク⑤ これらを学習する環境が整備されていないリスク（学校教育レベル、社会人教育レベル）5©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告

ＳＮＳリスクリテラシーチェックリストの作成
従業員のＳＮＳ知識レベルを知るために「企業のSNSリスクリテラシーチェックリスト」を作成“SNSリスクリテラシー”を定義

企業の従業員に求められるＳＮＳ利用のための基本的な知識・能力。
この能力を従業員が備えているか？
発言の善悪、影響を判断できる力

STEP1

STEP2

誤解のない表現で発言する力

炎上事例を参考に「ＳＮＳリスクリテラシーチェックリスト」を作成 （2012年9月）
ＳＮＳリスクリテラシー状況把握のため企業診断を実施 （2012年10月～2013年1月）＜ 企業におけるＳＮＳ利用状況、利用する従業員のリテラシー状況はどうか ＞

STEP3「ＳＮＳリスクリテラシーチェックリスト」の見直し （2013年2月～）＜ 診断に値する内容が得られたか ＞
6©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告

ＳＮＳリスクリテラシーチェックリストの内容
カテゴリ① 利用状況について② サービスの理解チェックする項目（サンプル）1項目に月、約10ほどの質問を用意•発言したいと思ったら、すぐに発言していますか。

•

あなたは、直接、会ったことのない人からの友達申請を承諾したことがありますか。
ある場合、どの様な理由から承諾しましたか。

•SNSが用意する設定内容について、確認したり、設定を変更した上で使用していますか。

•SNSが用意した利用規約を読んだことはありますか。

•あなたがSNS上で発言した内容を読むことができるのは誰か、その公開範囲を理解していますか。

•

仕事に関連した発言をするときは、それが会社の秘密に関わらないように意識していますか。

•

GPS機能の付いたデジカメやスマートフォンで自宅を撮影した写真をアップロードする際、GPS情報の付加について毎回、確認していますか。

•

あなたは、自分の氏名をインターネット上で検索し、どの様な検索結果が表示されるか、確認したことがありますか。

•

企業として活用するSNSは、その目的や役割、位置づけを明確にしていますか。

•

SNSの担当者が発言する内容の基準やテーマなどを決め、またNGワードなど、発言してはならない用語等を決めていますか。

③ 発言内容④ 身元判明の認識⑤ SNS利用の企業タスク

7©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告〔参考〕

SNSリスクリテラシーチェック診断方法（基本の考え）

１．診断適用基準（１）「ＳＮＳリスクリテラシーチェックリスト」（＊）に基づいて実施＊：情報セキュリティ対策診断研究プロジェクト SNS診断研究会チーム （2012.11.12版）（ ＳＮＳに関わる事故事例及び想定リスクに基づき作成したチェックリスト ）（２）チェック項目（前ページにある①－⑤の項目に分類）：「企業利用として」、「個人利用として」に分けて適用① SNSの利用状況について：SNSというサービスを認識し、どのように利用しているか。
② SNSのサービスについて：SNS利用のルールを認識して、遵守している程度を測る。
③ SNSにおける発言内容：発言内容により発生するリスクの認識の程度。
④ SNSを通じて身元が判明するリスクの認識：SNSの利用環境および発言が他人により使われる際に発生するリスク。
⑤ SNSを利用している企業のタスク（対象者の所属企業について）：企業として必要となるSNS利用のリスク対策への対応度合を測る。

２．チェックリストにより現状を調査•ＳＮＳの利用に関して従業員の状況、業務の実態 を把握する（ （レベル１－５）に位置づける）•
レベル：前々年まで研究の成熟度モデルを参考 (レベル１（初期/その場対応）、レベル５(最適化できている））
３．対象企業のあるべき姿の調査（１）対象企業のＳＮＳ利用に関して業務の実態、従業員のあるべき姿を把握・検討（ （レベル１－５）に位置づける）（２）その位置づけと、現状を比較し評価する
４．結果： 比較し評価に差がある場合にその差を解消するべく、何をするのが必要か、明確にする。

５．改善方法の提案 (具体的展開）： チェック項目分野に関して、“定着させる形態”、“推奨案”を提示する。
8©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告〔参考〕

診断例の紹介Ｓ社 業種 情報サービス業

診断例（対象部署：ＳＮＳアプリケーション開発組織、一般社員組織）

1．診断目的企業の業務活動に悪影響を与えることがないよう、組織または社員によるＳＮＳの利用において、必要なリテラシ－を持っているか。社員のＳＮＳ利用に関して企業が対処すべきことを認識し、実施しているか。
それらのルールの制定状況と周知状況をチェックする。今後のＳＮＳ利用に関しての提案を行う。
２．総評① 非公式なＳＮＳ取り組みルールにより（試験的に）運営されている利用に必要なルールを作るというよりは、発生する問題について、都度適切な判断を関係者、リーダーが行っていく。
問題は発生していない。
次の状況にあることから見てうなずける状況である。
• 業務分野として取り組み始めたばかり• ＳＮＳ利用業務の売上げに占める割合は1割ほどで、担当者も少ない• これまで取り組んできた業務分野とは異なる分野で、ＳＮＳに関連する情報発信、取得情報および技術分野の蓄積は少ない② あるべき姿
現状は、ＳＮＳの利用状況から見て合理的な範囲。ただし、この分野は「これから進めていく分野であり、進めていく方向にある」という。従って、現状では大きな問題はないが、今後に向けて積極的な対処をすることが望まれる。
⇒ 次(あるべき姿の検討)への対応が望ましい。
３．あるべき状況
貴社はARアプリの商品化を手がかりにＳＮＳ分野での業務を広げていくことを考えている。
今後は企業として、次を目指すことを目標とするべきと考える。
• 直接ＳＮＳ関連業務に関わる社員（ＳＮＳを利用する）に関してはレベル３• 直接ＳＮＳを業務として利用しない社員の個人利用に関してはレベル２以上

４．診断結果分野別に（「企業利用として」、「個人利用として」に分けて）数値評価

５．改善提案ＳＮＳ（に直接関わる、直接関わらないに分けて）分野別に提案① ＳＮＳを企業の事業として取り組む姿勢をポリシーや標準として打ち出し、教育を通じて従業員にリスク認識を持たせる② 企業としてのＳＮＳ利用に関する提案
9©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告

SNSリスクリテラシーの向上の施策
診断に用いた「ＳＮＳリスクリテラシーチェックリスト」のリスク分類の課題「ＳＮＳリスクリテラシーチェックリスト」は、研究会で2012年に起きた企業が被害を受けた、情報漏えいを中心とする事件・事故の事例を元に作成。
一般的な企業の従業員のリスクリテラシー教育のベースにしてよいか ＩＬＡＳのリスク分類によるインターネットリスクの見直し（Internet Literacy Assessment indicator for Students）
ＩＬＡＳ（青少年のインターネット・リテラシーに関する指標）において体系化されたリスク分類があり、社会人に対する指標としても参考になる。

 ＩＬＡＳから、企業関係者向けに活用できる内容を選択する•

従業員への周知・徹底教育の内容の見直しに利用する•「ＳＮＳリスクリテラシー」の診断内容も検討（Internet Literacy Assessment indicator for businessman としての検討）
10©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告

ILASを用いる意義
 ILASは、インターネットリテラシーを指標化するための評価方法、テスト問題のセットで構成されているため、リテラシー教育の学習効果を評価できる （下記画像は実践例）
 ILASを元にしたインターネットリテラシーの資格制度「デジタルコンテンツアセッサ（DCA）」が、一般社団法人インターネットコンテンツ審査監視機構により開始されている（同資格の認定講座を、青山学院大、東京工科大、千葉商科大、東北福祉大、埼玉工業大で開講準備中）。
 ILASのリスク体系は、OECDによるインターネットのリスク体系を元にしている（資料２）。このリスク体系は、汎用性があり青少年に限定されるものではない。
 よって、ILASの基本的なリスク体系を利用しつつ、中小企業の従業員に要求されるSNSリスクリテラシーに拡張することで、汎用性のある評価が期待できる。

【 リスク中分類毎の正答率 】

総合1

総合0.73

1a：違法情報
1b：有害情報
2a：不適切接触
2b：不適切取引
2c：不適切利用
3a：プライバシーリスク
3b：セキュリティリスク

0.83
0.71
0.77
0.61
0.82
0.79
0.61

3b：セキュリティリスク

0.8■ 被験者全体
1a：違法情報

0.6
0.4
0.2
3a：プライバシーリスク

02c：不適切利用

1b：有害情報

2a：不適切接触
2b：不適切取引〔 ILASの公表 （www.soumu.go.jp/menu_news/s-news/01kiban08_02000092.html）〕
11©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告今後の展開
今後展開される新評価制度としての監査のフィールド調査研究テーマ
 組織の目的と過去の事件事例を考慮したSNS利用のガイドラインの制定

1

SNS情報への監査アプローチ

 関係者全てへのSNS利用のリテラシー （作法）教育の徹底状況
 ガイドラインに沿った行動（SNS内の検索ワードの検討） トラブル／炎上発生時の事業継続計画の実効性の検証

2

ＳＮＳに関わる
公開情報への監査アプローチ

3

ＳＮＳ利用のリスクリテラシー
へのアプローチ ステルスマーケティング ニュースリリース等の配信管理 Ｔｗｉｔｔｅｒ等の発言内容（インターネット選挙運動による想定リスクも視野に）

 BYOD（Bring Your Own Device,私的デバイス活用）（スマートフォン、タブレット端末など）
 ILASを参考に、見直したチェックリストを用いて、企業リスクリテラシーの向上施策を検討
12©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告

謝辞 メンバー募集 など一緒に研究する方を募集しています。

当研究プロジェクトでは、ほぼ毎月１回の研究会を開催しています。

場 所

時期・時間

東京都南部労政会館 会議室（山手線大崎駅から５分）
毎月中旬、水曜（原則）の１８：３０から約２時間

研究結果については、ＨＰに公表します。
さらに詳細は、当研究プロジェクト（学会事務局経由）まで＜問い合わせの窓口アドレス＞

http://www.sysaudit.gr.jp/toiawase/index.html
13©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告〔資料１〕

インターネットリスクリテラシー指標（ILAS）

 総務省は、スマートフォンが急速に普及する中、プライバシーや情報セキュリティ面の課題に対応するため、インターネット上のリスクリテラシーを可視化した「青少年のインターネット・リテラシーに関する指標」（ILAS)を作成。
 ILASのリスク体系は、OECDによるインターネットのリスク体系を元にしている。
このリスク体系は、汎用性があり青少年に限定されるものではない。
 ILASは、OECDで進められている国際的なインターネットリテラシー指標の整備にも提案されている。従業員のリスクリテラシーが国際的にどの程度のレベルにあるのかを評価することも可能となる。
 総務省からはILASのリテラシー項目を拡張して使用することが推奨されている。

〔 ILASの公表 （www.soumu.go.jp/menu_news/s-news/01kiban08_02000092.html）〕

14©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

情報セキュリティ対策の診断研究プロジェクト 2012年度研究成果報告〔資料2〕

OECDのオンラインリスク体系（http://www.oecd-ilibrary.org/science-and-technology/the-protection-of-children-online_5kgcjf71pl28-en ）15©2013 JSSAシステム監査学会-「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.