2023年度 ISS Squareシンポジウム (2024/3/1)

No.
210
No.

従業員による誤った情報分類行為を引き起こす要因に関する研究
A Study of Factors That Causes Incorrect Information Classification by Employee
小林泰大・法制倫理分科会・情報セキュリティ大学院大学

In the implementation of an information security management system, organizations often classify information assets. Employees are required to categorize information assets according topolicies established by the organization, yet these classifications may deviate either below or above the requirements outlined in the policy. The focus of this study was on exploring thefactors contributing to misinformation in the classification by employees, particularly those influenced by the work environment.
Following a preliminary study (interview) that confirmed the possibility of incorrect information classification by employees, the main study comprised interviews. Ten respondents werequeried about the implementation of information asset classifications within their respective organizations. They were presented with hypothetical cases and asked if they had encounteredsimilar instances. All interview results were processed into fragments and categorized using the KJ method. A total of 16 cases and 10 factors, roughly classified into three categories—
employees, motivations, and countermeasures—were identified. It was confirmed that these factors could be divided into those commonly observed in previous studies and those uniqueto this survey.

背景
情報資産の不適切な分類による事例が報告されている• 2022年10月、1997年に発生した連続児童殺傷事件の事件記録を、神戸家裁が廃棄していたことが発覚 ➡ 「保存する」分類が検討されぬまま廃棄された事例も判明（最高裁, 2023）• 個人情報取扱中の事故のうち、最大の要因は手順・ルール違反作業、操作(JIPDEC, 2023)
情報セキュリティマネジメントの一環で、情報資産を分類することが組織に求められている
JIS Q 27001では情報資産分類を分類、ラベル付け、取り扱いの3段階で規定分類、ラベル付けに注目したとき、従業員による分類は組織の要求より過少・過剰に行われる可能性がある

本来＼従業員の分類

機密

機密でない

機密

（正当）

過小な分類Underclassification: UC

機密でない過剰な分類
Overclassification: OC例）機密性を尺度とした基準による（Goitein & Sharpiro,2011より再構成）

（正当）

目的
UC, OCを誘発する要因を明らかにする• 特に、UC, OCにつながる環境要因を明らかにする• 行動要因は性格など固有の要因と、業務環境など環境要因に大別される• 環境要因は、マネジメントにより外部から操作できる➡ UC, OCにつながる環境要因を明らかにすることで、マネジメント対策に活用できる• マネジメント対策のための、UC, OCを抑制するための知見獲得を目指す

先行研究
UC, OCを引き起こす環境要因を説明した研究は少ない
1) 情報分類プロセスが遵守されない要因 (Bergström, et, al., 2020)• 情報分類プロセスは多くの従業員にとって複雑で、難解• 従業員は分類作業より、分類プロセスの理解に時間を割いているプロセスは整備済みで、従業員も遵守に向けた努力をするもうまくいかず➡ 規程に基づかない主観的判断を招き、情報に適切な保護が与えられない

情報セキュリティリスクマネジメント、あるいは情報セキュリティ関係のシステム管理の経験者に、「UC, OCは起こると思いますか。起こるならそれはどんな場面、状況においてだと思いますか」「UC, OCそれぞれ、従業員のメリット（＝要因）、組織が受けるデメリット（＝課題認識）には何が考えられますか」と質問➡ 要因として分類作業からの解放や安心・保身、課題認識として情報漏洩の危険性増大やコストの増大が指摘された
特に分類作業からの解放は、Bergströmらの「複雑なプロセスが不適切な情報分類をもたらす」との指摘と類似する
UC, OCは国内でも生じうることと、要因として先行研究同様のもの・先行研究では見られなかったものが確認された

本調査より具体的な要因を明らかにすることを目的とし、本調査として改めてインタビュー調査を実施した
ここからは組織にとってより危険性が高いＵＣに対象を限定した◆ 方法• 情報セキュリティ、情報システムに関する業務を担当した経験のある10名に対し、対面またはWeb会議越しに半構造化面接法 (*) により実施*: あらかじめ質問を準備して順番に投げかけ、発言に応じた質問をその場で加えてさらなる洞察を得る方法。

• 実施されていた情報資産分類と、従業員の実施状況の認識を尋ねた。
• 従業員が扱う情報の類型、情報源によって異なる要因が抽出される可能性を鑑み、複数の短文を提示して類似事例を見聞きした経験を尋ね、経験ありの場合具体的な事例、動機、実施・不足している対策を尋ねた。
◆ 分析
発話の一切を断片（コード）にし、延べ4名によるKJ法で分類◆ 結果• 16の事例と150を超えるコードを収集し、大まかに3つの要因が抽出された• 要因は、さらに複数の副要因に区分された
従業員

動機• 分類規則が意識されていない状況• 認知能力の限界• 主たる業務の優先• 情報資産・予見される危害に対する認識不足• 従業員の認知バイアス• 企業文化・風土• 職場環境対策• 組織運営• 技術的対策• 人的対策◆ 具体例と考察
要因を「複雑な分類プロセス」としか説明していないほかに要因になる事象の存在が想定されたため、従業員の一般のセキュリティ行動を引き起こす要因について説明した研究も調査した
2) 従業員の情報セキュリティ一般の行動に関する研究 (Blythe, et, al., 2015)• 従業員の行動は多くの要因が複合して生じると説明• 企業が指示した対策を実施するか否かを、実施した場合・しない場合を想像して帰結を評価している• この比較は特に反応評価>反応
コストの要素である生産性が重要な位置を占める

従業員：主たる業務の優先「従業員にとって情報分類は本来業務ではない。当然、本人らの業務を遂行することが最優先されがちになる。相対的に優先順位が低いのだから、情報資産分類を人の注意や意識に依存する形にすると、どうしても規律として緩みがちになるだろう。」• 情報資産分類は従業員にとって単なる負担とみなされている可能性➡ 先行研究・予備調査の結果を裏付ける
動機：企業文化・風土（助長する要因：強い上意下達の雰囲気）「上席者の指示に応えるために、必死になって情報を探した結果としての不適切な行動だと思う。」（抑制する要因：不適切な取り扱いが問題だとの共通認識）「意図的に不適切な取り扱いをすることは考えにくい。発覚すると大問題になることが周知の状況だ。」• 他の従業員の振る舞いから学習した従業員により、企業文化・風土は維持されることを示唆 ➡ Blytheらの指摘「従業員の経験」との関連が見られる• 「抑制する要因」は先行研究での指摘が見られず対策：人的対策：啓発「ただダメだと言うのではなく、なぜダメなのかを理解させることも必要。頭ごなしなやり方では背景に理解が及ばない。背景まで共有することで、発展的事象にも応用が利くのではないか。」

研究 (2) から複数の要因が示されたことを踏まえると、
研究 (1) では明らかにされていない要因が存在しうる

予備調査
誤った情報資産分類について日本を対象とした報告がなく、国内でも海外同様に生じうるかが不明である ▶ UC, OCが国内でも起こり得るか、対処すべき課題と認識されているかを確認するため、予備調査としてインタビューを実施 ↗

• 従業員が具体的な脅威に理解を深める機会を与えうる➡Blytheらの主張（脅威を過小評価する傾向）への対策になりうる• 既存規則を維持したまま実施できるため、取りかかりとして有効

今後の課題
情報資産分類は本質的に従業員のタスクだが、従業員に対する直接の調査は行っていない。従業員に対する調査により、新たな要因が抽出される可能性がある。