質問: 先日、保険に入ろうと思っていつもお世話になっている保険会社の方に連絡を入れ資料説明等を受けていたのですが、その会社の顧客管理・営業用システムがWebを使ったシステムで、営業マンの方は、私が加入している保険や個人情報などをタブレット端末で確認しながら説明をして下さっていたのですが、ブラウザのurlがhttp://... になっていました。 インターネットには、小型のポケットルータを使って接続しているようでした。 この保険会社に関わらず、これまでにも社内システムをSSL無しで構築されているのをなんどか見たことがあり、その度に見なかったことにして「あっ、察し・・・」ということでそっと離れていくか、話の分かってもらえそうな人であれば「ちゃんとした方がいいと思いますよ」的なことをお伝えしてきたのですが、今回の場合、既に自分がその会社の保険に加入しており簡単にそっと離れていくということもできず、SSLに対応していないことについてどう伝えればよいのか困ってしまいました。 B2Cで公開されているようなサービスでSSL対応していないサービスを目にすることはまずありませんが、このようなインターネットを使う社内システムでSSLに対応していないサービスというのは世の中にたくさんありそうな気がしてぞっとしています。 現にこの保険会社も名前を出せば多くの方が知っている会社だと思います。 私の疑問点として以下の2点です。 1.そもそもインターネットを使う社内システムはSSL対応しなくても問題ないのでしょうか? 私の答えは「No,問題あり!」なのですが、日本の企業ではかなり多くの会社が社内システムをSSL化していないような気がしてきてむしろ自分の考えが間違っているんじゃないかと思えてきました。(個人情報とか別にSSL化しなくても対して問題ないんじゃないかという気さえしてきました) 私の認識ではSSLへの対応の有無は、その会社の経営の根幹にかかわる重要な問題だと思いますが、そこまで深刻に考えるようなことでもないのでしょうか。 2.1の答えが「No」であればこういった企業のSSL対応への指摘・要望はどのように進めるべきでしょうか? こういう場合、一般的にはどのような流れで企業への要望を出すのが正しい姿なのでしょうか。 皆が気づいた時点で実名をあげたり、URLをネットにさらすというのも1つの手段だと思いますが、ちょっと乱暴ですし攻撃者を生む可能性もあるのでこれは方法として少し違うかなと思いました。 制度的な面に関しては、現状では法律などで「○○を扱う場合はSSL対応必須」というような規定はないと思います。 B2C等の一般的なWebサービスであれば外からもわかりますが、社内システムに関しては外部から伺い知ることのできない情報ですのでその会社の方針にゆだねられることになります。 指摘・要望に対する反応も企業によって様々なような気がしますが、同じような経験をされた方がもしいらっしゃいましたらぜひご意見を頂ければと思います。
回答: すでに答えは出ていますが、私も社内ネットワークを構築しているものとして一言。 社内ネットワークを外部から接続する場合、私はVPNを採用しています。理由はいくつかありますが、最大の理由は「VPNを貼るだけで社内のシステムへの接続を担保できる」です。 では外部から使う場合、「http」で接続していて不安になるならいくつかチェック項目があります。 Windowsの場合しかなく申し訳ないのですが、時計の横のアイコンでネットワーク接続アイコンが複数あればそれはネットワークに仮想ネットワークを重ねている「VPN接続」をしています。シスコなどはルータに専用のVPNソフトがあり、そのアイコンも出ています。 Android接続の場合は、これも上のアイコンのところに「カギ」マークが出ます。(iphoneは手元にないのでわかりません) https に目が行くのであればこの2点も確認すれば精神安定上、よろしいかと思います。 なんにせよ、無意識化で「安全」が確保できるように作っていかないと利用者は「めんどう」といって利用を避けます。安全確保を実施している教育は必要ですが、実際の現場では「つながればよい」です。 社員とはいえ利用しやすい工夫を構築者の皆さんはされていると思います。そうなると外部の人は更にわかりにくいものとなってしまいますが。。。。 安全ステッカーでも貼ればよいかもしれませんね。