| ・ |
RASで自宅のPCをつなぐケースがある。ウィルスは会社貸与で許可するのか?
→自宅接続でもウィルス対策ソフトは必須である。 |
| ・ |
個人PCが社内に持ち込まれた時は、会社の責任。業務として許すのであれば管理すべき。 |
| ・ |
未許可PCは接続禁止としている。開発環境は別途構築し、社内LANとは分離する。 |
| |
◆「媒体の保管」 |
| ・ |
暗号化
鍵のかかる場所-利用するので持ち出し必要→外での作業もある→メディアの管理
複製の保管。 |
| |
◆「媒体の移動」 |
| ・ |
郵送せざるを得ない場合＝書留、配達証明の利用
一律禁止が現実的であるか問題ある。
→個人情報は高い機密情報であり、機密性の程度で分けてはどうか。 |
| ・ |
紙情報はOCRでデジタル化している。現実的には媒体を輸送しており、機密度に応じて契約している。社員が直接持っていく場合もある｡ |
| ・ |
媒体といっても色々ある。持ち出しはUSBでつないだメモリスティックで行われるとどうしようもない｡
規定上は禁止になっているが、現実はやられ放題になっている。 |
| ・ |
セキュリティポリシーで、絶対守らなければいけないことと、許容できるところをきっちり分けることが大切。
許容するときは、利用者の責任を明確にするようにする。
また、教育は必要であり、利用者が責任を果たせるようにするのは会社の責任である｡
ノートを持って社外へ出かけたときに、持ち忘れや開きっぱなしがないようにする。暗号化するのも方法である｡ |
| ・ |
規則で縛るだけでなく、モラルの問題もある。
現実に守るか否かは別問題である。 |
| ・ |
ポリシー違反については罰則を設け、辞めてもらうなどの厳しい処置も。
→悪いという知識がない、悪気がない場合がある。やったことがわるいことであるという知識がなければならない。本質的な意味を明らかにしないで罰するのは良くない。
→ヒヤリ、ハットは公開している。セキュリティについてもそうすべきと言うことも聞くが、あまり公開するのも抵抗がある。
→監視するツールがあるということをアナウンスするだけでも抑止効果はあるはずである。 |
| |
◆「媒体の再利用」
◆「PCと媒体の廃棄」 |
| ・ |
媒体のリサイクル利用は業者に完全に消去させること |
| ・ |
個人のPCを廃棄する場合は、HDDをフォーマットしたくらいで下取りに出してしまう。個人のセキュリティ意識を高めるために教育項目に取り入れる |
| ・ |
リースやレンタル物件の処置は？
→HDDイレーサで費用を掛けて返却している。経費がかかり、ほとんど持ち出し。 |
| ・ |
利用や廃棄だけでなく、修理の際の交換の場合にも注意を要する。 |
| ・ |
自社のPCであっても、環境問題から物理的に壊せない、あるいは修理が難しいということもある。 |
| ・ |
PCは20万円くらいのものであるが、中の情報資産の価値はその重要性で様々。
廃棄PCの中に何が入っているか、その価値がどのくらいか分からないと対処しにくい。PC内の情報の重要度を規定すべきか？
→現実には難しいのではないか。規定化はできても、実際の運用が出来るかは難しい。扱う人間が重要度を認識しなければ始まらない。
|
| ・ |
使用状況→ネットワークにつないでいるか
情報利用関係→どんな情報を入れているか機密レベルで分ける。
IT資産管理規定の作成はセキュリティポリシーと衝突しないか。 |
| ・ |
もし規定するなら、プロシージャレベルまで落とさないとできない。
IT資産管理を別立てにし規定化するか、セキュリティポリシーの中に入れるかは難しいところである。 |
