質問: 情報セキュリティで考慮すべき範囲 先日のベネッセの漏洩事件を受けて、 社内での情報セキュリティのあり方について議論しています。 今まで外部からの脅威や うっかりミス(usbメモリを紛失、メールの誤送信)を検討したのですが、 「悪意のある内部犯行者」については、深い議論がありませんでした。 システムに投資する予算も限られることもあるのですが、 社内の人間を疑う、というのはセキュリティ要件に含めるべきか悩んでおります。 皆様の会社ではいかがでしょうか?。 ご意見を頂けると助かります。
回答: >皆様の会社ではいかがでしょうか? まず、業務に使用するパソコンはfd無し、cd/dvd-romドライブのみの機種 私物のパソコン、usbメモリ等のメディア、スマートフォン、デジカメを社内ネットワークに接続することは禁止 (接続すると確認のアラートが表示され、ログを採られている) usbメモリは部署内でのデータ移動専用でパスワードを入力しないと書き込み不可 使用・返却時は記録簿に必ず記入し、上司が始業・終業時に使用状況と数量を確認。 人を疑うのではなく、動作・行動を制限すればいいと思いますよ。