情報共有と情報セキュリティ－社内システムの更新と情報セキュリティ向上について －木山 貴子

1. はじめに
技術協第 71 号で「技術情報管理の電子化導入への取組み」と題して、弊社の情報共有化に向けた取組みを紹介しました。弊社では、平成 15 年に社内情報の共有化のためのグループウェアを導入しその運用を図ってきましたが、それまでの問題点や課題を踏まえ、平成 21 年に情報の一元化、文書承認手続きの簡素化、迅速処理（利便性・操作性の改善）、情報セキュリティの向上を目的としてシステムの更新を図っています。
今回はこれらの社内情報共有化の継続的な取組み状況と情報セキュリティ強化への対応などを紹介します。
２.社内情報共有化の背景と目的
情報共有化の背景などについては第 71 号にも記載しておりますが、今回は少し詳しく述べさせていただきます。
情報共有化の背景には、第一に、国によるＣＡＬＳ/ＥＣの推進の動き、第二に弊社のＩＳＯ認証取得を契機とする文書管理等があげられます。
最初に、ＣＡＬＳ/ＥＣの経過についてですが、「組織間、事業段階間で公共事業に関する情報の交換、共有、連携を図り、コスト縮減、品質確保、事業執行の効率化を目指す」とする建設ＣＡＬＳ整備構想が平成８年４月に、同９年６月には建設ＣＡＬＳ/ＥＣアクションプログラムが建設省で策定されました。その後、ＣＡＬＳ/ＥＣの具体的な方法として、電子納品要領（案）及びＣＡＤ製図基準（案）が平成 11 年 10 月に提示されました。また、上記のアクションプログラム
は、平成 13 年１月の中央省庁再編が施行されたことにより、平成 14 年３月に国土交通省のＣＡＬＳ/ＥＣアクションプログラムが策定されています。これにより、北海道開発局においても平成14 年度より、工事の一部と業務においてはすべての業務を対象に電子納品が導入されることとなりました。
注）平成 16 年 6 月には国土交通省の電子納品要領（案）、ＣＡＤ製図基準（案）の改訂が行われています。
（平成 17 年 4 月に農林水産省の電子納品要領（案）、ＣＡＤ製図基準（案）が改訂）

次に、ＩＳＯの認証取得ですが、弊社は、平成 13 年 10 月にＩＳＯ９００１認証取得を契機に、品質マニュアルに基づく文書管理が始まりました。ＩＳＯ取得後はＩＳＯ関連文書が多岐にわたり、プロセス毎に整理した紙媒体でのファイリング数が多くなり、さらに業務成果物等の紙媒体での保管、管理もあり、スペース的にも困難になっていました。また、文書決済状況の申請、確認に時間を要するなどの課題も浮上してきました。
ＣＡＬＳ/ＥＣの施行とＩＳＯは、社内情報の共有等、社内情報通信インフラ整備の後押しをしてくれるものでした。ＣＡＬＳ/ＥＣとは、『従来は紙で交換されていた情報を電子化するとともに、ネットワークを活用して各業務プロセスをまたぐ情報の共有、有効活用を図ることにより公共事業の生産性向上やコスト縮減を実現するための取組み』ですが、左記の太字部分の“各業務プロセス”を“品質マネジメントシステムに基づくプロセス”に、“公共事業”を“業務”に置『事業執き換えることができ、また、電子納品の目的は、『ペーパレス・省スペース化の実現』、行の効率化』、『品質の向上』であり、ここでも左記の“事業”を“業務”に置き換えることができます。このように、ＣＡＬＳ/ＥＣ・電子納品は、社内の各種文書等の電子化、情報共有の目的や得られる効果を明確にさせてくれるものでした。
ＩＳＯ取得に始まり、ＣＡＬＳ/ＥＣの施行を契機とし、当社においては、『社内電子化計画Ｈ15～Ｈ20』に基づき平成 15 年にグループウェアを導入し、ＩＳＯ関連文書や業務関連情報の共有化の一部運用が始まりました。その際、社内ＬＡＮと電子入札のネットワーク回線を分離することにより、どちらかの回線に不都合が生じた場合にも外部との回線を保持するとともに、万が一の情報セキュリティ事故が発生した時には、相互に影響が出ない状況を構築しました(表-１)。
その後、平成 21 年 6 月には操作性、及び利便性を改善し、さらなる効率化を図るとともに、情報セキュリティを向上させるため、システムの更新による新たな情報共有の段階に入っています。

表-1

ネットワーク回線導入経緯

回線

ネットワーク回線機能

事業者

種別

社内電子入札ＮＴＴ

ISDN

64kbpsＨ10（1998）年 5月

Ｈ15（2003）年 3月

ＮＴＴADLS

12MbpsＨ14（2002）年 3月

Ｈ15（2003）年 3月

ＮＴＴBフレッツ

100Mbps

Ｈ15（2003）年 8月

Ｈ17（2005）年 5月

３.グループウェア導入（Ｈ15）以後の経過
3-1.グループウェアの概要
平成 15 年度に導入したグループウェア 1)に対して求められた機能と情報セキュリティ対策の主な項目は次のようなものでした。
■グループウェアに求められる機能① ＩＳＯ文書等蓄積する文書等の保管～【品質マニュアル・同改訂履歴・各種手順書等】② 各種情報の共有化～【マニュアル、手引き等の技術資料・教育訓練関連文書等】③ 必要情報の迅速な検索・閲覧～【ツリー構造に基づくフォルダからの検索・全文検索】■情報セキュリティ対策① ファイアウォール設置② ホスティングサービス利用～【電子メール・企業サイト】③ バックアップシステム導入～【DAT テープ】
④ 文書検索・閲覧の制限～【個人情報等】

図-1

グループウェア導入時(H15)のシステム構成

メ イ ン

図-2

文 書 管 理文書閲覧・ダウンロード
業務処理・教育訓練関係申請

申 請 一 覧

申請した文書を確認

承 認 一 覧承認依頼が来ている文書を確認

受 領 一 覧受領通知が来ている文書を確認

グループウェア(H15)導入時のフォルダ構成

3-2.グループウェアの運用
グループウェアは、専門知識を有する技術者２名を置き、社内研修会等でプレゼンテーションを行うとともに、アンケート調査を行い改善点など確認しつつ試行錯誤しながら内容を改善・拡充し、運用を図ってきました。具体的には、当初は上記の文書データの保管やユーザが必要な共有情報を迅速に検索・閲覧することを主目的としていましたが、グループウェアの浸透、操作習熟に伴い、業務計画書や打合せ簿等の業務文書処理への拡大、さらには事務処理関係の電子決済

へと段階的に守備範囲を拡充しました。
グループウェア導入以前、業務処理文書を業務ごとのファイルにまとめて管理していたことを考えると、システム上で電子データを一元管理できるようになったことはペーパーレス化に寄与できたと考えています。
当初の電子化６ヵ年計画は、平成 20 年度に所期の成果目標をほぼ達成しましたがいくつかの課題が残されました。
3-3.グループウェア（Ｈ15）の問題点と改善の方向(1) 電子決済
既存システムでは文書管理システムを利用して事務処理関係書類の決裁を行なっていましたが、同一属性の書類が申請中の場合は承認処理が終了しなければ、次の申請を行なうことができない状況にありました。また、決済文書は一度ワードやエクセル等のオフィスソフトで文書を作成した後、グループウェア上にファイルを追加・編集することにより申請を行なっていたため、申請までの流れが冗長的でした。
また、申請者が承認ルートを設定する負担は残りました。承認ルートを間違えた場合は修正することが難しく、既存システムでは対応しきれない面もあり、課題となりました。
以上より、同一属性の書類の時間差申請、承認ルートのシステム設定を可能とする改善の方向性が示唆されました。
(2) 情報セキュリティ
グループウェアの導入前後からインターネットによる情報通信が一般的なものになり、情報資産に対するウィルス等の脅威も愉快犯的なものからフィッシング詐欺やスパイウェアなどによる情報漏洩など犯罪化傾向を辿っています。社内システムの情報セキュリティ対策レベルの客観的な評価を行い、弱点を把握すること、及び弱点を改善することを次の段階での課題としました。
(3) 設備の老朽化
社内システムを管理しているサーバ群は導入から６年が経過し、ハードウェアの耐久性、及びメーカーによる部品供給が縮小される時期に入ってきていました。また、OS の修正プログラム対応期限も迫ってきており、社内システムの安全稼働のためにはサーバを更新する必要がありました。
４. グループウェアの更新整備（Ｈ21）～よりよき社内システムの構築
4-1.新システムの概要
前項の内容を踏まえ、平成 20 年度末に情報セキュリティ対策とグループウェアのバージョンア
ップ 2)を行いました。新システムの構成は、図-３及び図-４のとおりです。

図-3

新グループウェアのシステム構成

メ イ ン・お知らせ
・掲示板 新着情報
・今日の予定(個人)・申請承認受領 新着通知

図-4

文 書 管 理文書閲覧・ダウンロード
業務処理・教育訓練関係申請

ワークフロー

事務処理関係申請[出張伺い・届出書等]

申 請 一 覧

申請した文書を確認

承 認 一 覧承認依頼が来ている文書を確認

受 領 一 覧受領通知が来ている文書を確認

スケジュール

社員の行動予定

掲

回覧文書の閲覧示板新グループウェアのフォルダ構成

図-5

メイン画面

4-2.グループウェアの改善点
社内電子化６ヵ年計画の最終年である平成 20 年度に、上記の問題点・改善点を踏まえ更新計画を立案し、今年度(Ｈ21)はグループウェアを更新（バージョンアップ）して機能強化を図り、６月より運用を始めました。このときの主な改善目標は次のとおりです。
■グループウェアバージョンアップの骨子① 柔軟な電子決済システムの構築② コミュニケーションツールの援用による利便性向上③ 老朽化したサーバ群の更新■情報セキュリティ向上対策① 情報セキュリティに関する現状評価② メール監視装置の設置③ バックアップシステムの増強④ セキュリティの保たれたサーバ室

上記の改善目標に対する対策の内容を以下に述べます。
(1) 柔軟な電子決済システム構築のための対策
a) 事務処理関係文書の同時申請が可能
決済文書作成の煩わしさを解消し効率的なものとするため、図-６に示すように、システム上にあらかじめ定められた書式（画面上のテキストエリア）に必要事項を入力することで文書申請～承認～登録の一連の手続きが行える『ワークフロー機能』に切り替えました。これにより、連続して文書を申請することを可能とし、併せて効率的かつ迅速な手続き処理が行えるようになりました。
b) 承認ルートの自動検出
上記のワークフロー機能は、事務処理関係書類の承認ルートの自動検出を可能とするものです。
具体的には、所属する部門、及び職掌によりシステム上で承認ルートを自動的に設定し、申請者が必要に応じて変更することもできるため、柔軟にシステム運用ができるようになりました。また、図-７に示すように、申請された文書の承認手続きの現在の決済状況が「申請一覧」フォルダで確認できるようになりました。

図-6

ワークフロー(例:出張伺い)

図-7

申請一覧

(2) コミュニケーションツールの援用による利便性向上対策a) 「掲示板」による文書回覧

「コミュニケーション機能」の“掲示板”（図-８）を使用し、回覧文書を表示できるようにしました。過去の回覧などの確認も行えるため、既存システムのように回覧文書を再度システムに登録し直す必要はなくなり、効率が良くなりました。
b) スケジューラ機能による行動予定、計測機器類使用スケジュールの確認
従前は壁掛けのホワイトボードで確認していた社員の行動予定がグループウェア上で確認できるようになりました（図-９）。また、この機能を応用し、社有の計測機器類の使用スケジュールを作成し、機器使用の際、機器保管庫まで出向かなくても水位計等の使用状況、在庫状況が確認できるようになりました。
情報セキュリティ対策については後項「６.情報セキュリティ対策」で述べます。

図-8

掲示板

図-9

スケジューラ(行動予定)

4-3.新システムの運用
社内検討により、機能の特徴と取り扱う文書、及び決済の手順を考慮して活用方針を決定してシステム構築を行い、部門ごとに操作説明会を実施し、試用期間を経て運用を開始しました。
５. グループウェアバージョンアップに関するアンケート
バージョンアップ後のグループウェアが稼働してから半年経過したＨ21 年 12 月に、バージョンアップに関するアンケート調査を行いました。結果は、全体的にバージョンアップにより、ユーザの利便性、操作性が向上したことが伺えました。（図-10）

0%
出張伺い、休暇届書等の事務処理書類について20%

40%

60%

80%

100%

どちらともいえない
申請しやすくなった 95%

5%(申請しづらくなった 0%)

操作しづらくなった操作しやすくなった 68%

業務処理文書の承認について5%27%
どちらともいえない

特に便利とは感じない掲示板等について随時確認できて便利になった 85%7%8%

見ないのでわからないスケジュール機能(社員、及び計測機器類使用スケジュール)について随時確認できて便利になった 76%

24%(特に便利とは感じない 0%)バージョンアップしないほうが使いやすかった 2%
グループウェアバージョンアップについて(全体の評価)

バージョンアップして便利になった 78%

20%
どちらともいえない(実施日:平成21年12月22日～25日

図-10

回答41名)

新システムの運用に関するアンケート結果

特に評価が高かったものでは、ワークフロー機能による出張伺い等の『事務処理関係書類』の取り扱いにおいて、「申請しづらくなった」という回答はゼロで、従来よりも著しく操作性が改善されたことを示しています。
逆に、相対的に評価が低かったものは、『業務書類文書』で、“どちらともいえない”の回答が約３割になりました。業務処理文書の登録は、従前と同様のワードやエクセルを各自が作成し申請する「文書管理機能」を継続利用していることから、申請者がワークフロー機能と文書管理機能の使い分けにまだ習熟していないことが理由のひとつと考えられます。
『掲示板等』のコミュニケーション機能、行動予定等のスケジューラ機能については、ワークフロー機能と比較し、やや利便性向上の実感が低いが、８割近くが“便利になった”と回答しており、今後システムに習熟していけばさらに評価が高まると考えています。
６.情報セキュリティ対策
6-1.情報セキュリティの必要性
社内ＰＣはＬＡＮに繋がっており、１台がコンピュータウィルス等に感染すると、データ破壊・システムダウンなど円滑な業務遂行が阻害される恐れがあります。また、情報漏洩などのセキュリティ事故は利害関係者全体にその影響が及んでしまい、社の信用を著しく損なうことになります。
利用しているコンピュータがボットを介して加害者である外部から知らないうちに操作され、迷惑メールの配信やサービス拒否攻撃などの踏み台になる可能性もあります。これらの迷惑行為の踏み台にされている企業は、情報セキュリティ対策を的確に行っていなかった場合、責任を問われることにもなりかねません。これらのことから情報セキュリティがきわめて重要であるといえましょう。5-2.情報セキュリティに関する現状評価
前項 4-2 に示しました情報セキュリティ対策の一つに現状評価があります。これには情報セキ
ュリティ対策ベンチマーク 3)(ＩＰＡ：独立行政法人情報処理推進機構。以下、ベンチマークという。表-２)を参考に自社の現状を評価しました。ベンチマークでは社会基盤や経済基盤に与える影響から公共性が高い組織を『高水準のセキュリティレベルが要求される層(レベルⅠ)』に分類していて、建設コンサルタント業は一般的に高水準のセキュリティレベルが要求される業種といえます。
ベンチマークの評価項目は、①情報セキュリティに対する組織的な取組状況、②物理的(環境的)セキュリティ上の施策、③通信ネットワーク及び情報システムの運用管理に関するセキュリティ対策、④情報システムの開発、保守におけるセキュリティ対策及び情報や情報システムへのアクセス制御、⑤情報セキュリティ上の事故対応状況、の５グループで構成され、グループごとに３～７項の評価項目が設定されています。図-11 は評価５グループごとの業種別平均を示しています。

表-２

ベンチマーク評価項目

グループ

①

情報セキュリティに対する組織的な取組状況②

物理的(環境的)セキュリティ上の施策③

通信ネットワーク及び情報システムの運用管理に関するセキュリティ対策④

情報システムの開発、保守におけるセキュリティ対策及び情報や情報システムへのアクセス制御⑤

情報セキュリティ上の事故対応状況

評価項目
・情報セキュリティ管理規程
・情報セキュリティ推進体制
・情報資産の重要度分類
・重要情報の業務工程ごとの安全対策
・業務委託契約・従業者との契約
・従業者への教育・第三者アクセス
・建物や安全区画の物理的セキュリティ
・情報機器の安全な設置
・情報記憶媒体の適切な管理・実稼働環境の情報セキュリティ対策・システム運用におけるセキュリティ対策
・不正ソフトウェア対策
・ソフトウェアの脆弱性対策
・通信ネットワークの保護策
・記憶媒体の紛失・盗難対策
・業務システム開発時のセキュリティの考慮・ソフトウェアのセキュリティ管理
・情報（データ）へのアクセス制御
・業務アプリケーションに対するアクセス制御
・ネットワークのアクセス制御
・情報システムの障害対策
・情報セキュリティ事故対応手続き
・事業継続への取り組みの実施

図-11

ベンチマークの診断例 IPA 提供資料より引用 4)（当社の評価例ではありません）

図-12

ベンチマークの診断例 IPA 提供資料より引用 5)（当社の評価例ではありません）

ベンチマークによる現状評価から②物理的(環境的)セキュリティ向上の施策について不足があることが明確になったため次項 5-3 に述べる対策を講じました。また、⑤情報セキュリティ上の事故対応状況の取り組みが遅れているため、今後弱点の補強を検討していく必要があると考えています。
5-3.ハード面での対策
当社は、これまでもハードウェア、及びソフトウェアの両面からセキュリティ対策を行ってきていますが、システムの更新に際しては従来のウィルス対策、及びファイアウォールに加えて、前項の現状評価を踏まえてハード面での補強を行いました。
一つはメール監視装置を配して情報漏洩対策を行いました。また、バックアップシステムも増強しました。物理的には社屋の有効スペースを利用してサーバ室を新たに設置し、サーバ系のセキュリティの確保を行いました。
６. おわりに以上、社内情報共有化の継続的な取組み状況と情報セキュリティ強化への対応について述べました。会員の皆様におかれましても同様の対応をなされているのではないかと存じますが、本寄稿がいかばかりか参考になれば幸いです。
今後は社内説明会等によりグループウェア機能の有効活用を向上させ、アンケート等により使用状況や問題点の把握に努め、継続的な改善を図っていきたいと考えています。
情報セキュリティ対策に関しては、社会的にも重要視されている今日、さらなる脅威も見え隠れしており、継続的な情報収集とベンチマークによる現状評価、診断を行いながら社の情報セキュリティの確保に努めたいと考えています。
最後に、本寄稿の機会を与えてくださいました、社団法人北海道土地改良設計技術協会各位に謝意を表します。
【出典】
１）グループウェア「Visual Finder」（株式会社大塚商会）
２）グループウェア「eValueNS」（株式会社大塚商会）
３）独立行政法人情報処理推進機構 (IPA) 情報セキュリティ対策ベンチマークより
４）独立行政法人情報処理推進機構 (IPA) 情報セキュリティ対策診断結果サンプル
http://www.ipa.go.jp/security/benchmark/documents/sample_report.pdf
５）独立行政法人情報処理推進機構 (IPA) 情報セキュリティ対策診断結果サンプル
http://www.ipa.go.jp/security/benchmark/benchmark-gaiyou.html〔株式会社アルファ技研

品質管理部木山貴子〕