問題 No.4365
組織における情報セキュリティ管理において、従業員の過失犯（うっかりミスや不注意によるセキュリティインシデントの発生）に関する対策として不適切なものはどれか。
【正解の解説】
過失によるミスは個人の不注意が原因であるため、組織的な対策ではなく、発生した本人に対する減給や解雇などの厳罰化のみを徹底することが、再発防止において最も効果的である。
人間は必ずミスをする生き物です。例えば、車でうっかりスピード違反をしたドライバーを全員クビにするようなもので、これでは根本的な道路の危険個所や標識の分かりにくさという「仕組みの欠陥」が放置されてしまいます。組織的なセキュリティ対策においても、罰則で脅すだけではなく、エラーが起きにくいシステムや業務フローの改善といった総合的なアプローチが不可欠であり、厳罰化のみに頼ることは不適切な対策となります。
スポンサーリンク
【その他の選択肢の解説】
うっかりミスや不注意によるインシデントを防止するためには、操作手順のマニュアル化だけでなく、ヒューマンエラーが発生することを前提としたシステム的な入力チェック機能や自動制御の導入が有効である。
これは過失犯対策として極めて適切なアプローチの説明です。人間は疲労や勘違いで必ずうっかりミスを犯すという「性悪説ならぬ性弱説」に基づき、例えば銀行のATMでカードの取り忘れを音や画面で必ず警告するように、個人の注意力に頼らずシステムや手順の工夫でカバーする仕組み作りが情報セキュリティ管理では極めて重要視されます。
従業員が日常業務においてセキュリティ上の脅威や自身の過失に気づきやすくするために、定期的な標的型攻撃メール訓練や事例を用いた実践的な教育・啓発活動を継続的に実施することが重要である。
これも過失犯対策として非常に適切なアプローチの説明です。自転車の安全教室のように、日頃から実際の脅威に似せた訓練や分かりやすい事例を学ぶことで、従業員のセキュリティに対する「免疫力」や「気づき」を高め、うっかり怪しいリンクを踏んでしまうようなヒューマンエラーを未然に防ぐ実務的な効果を発揮します。
業務中のミスが発生した際に、従業員が萎縮して報告を隠蔽することを防ぐため、罰則に頼るのではなく、速やかに上長へ報告・相談しやすいオープンな組織風土やインシデントの報告体制を整えることが望ましい。
これも過失犯対策として極めて適切なアプローチの説明です。失敗を過度に恐れる職場では、小さなミスが発覚を恐れて隠蔽され、結果的に大事故へと発展する最悪のパターンを招きます。例えば、医療現場でインシデントを素早く報告し共有する仕組みがあるように、組織全体でミスを責めずに原因究明と共有ができる風土作りこそが最大の防御となります。