情報処理推進機構（ＩＰＡ）のクライシス・マネジメント

ＩＰＡ（独立行政法人　情報処理推進機構）職員の方のＰＣソフトがウイルスに感染してしまい、１６，０００件に及ぶファイルが流出してしまったそうであります。第一報では詳細な内容は判明しておりませんでしたが、役員さん方による記者会見により、（当該職員の方が）ファイル交換ソフトを利用して児童わいせつ画像をダウンロードしておられたことが判明したようで、ファイル交換ソフトを入手していた動機は「やっぱりなぁ」と思われた方も多いのではないでしょうか。（詳細を報じるＩＴメディアニュースはこちら）

個人や法人に対して、普段から情報セキュリティの重要性を広報されているＩＰＡさんとしては、なんとも格好の悪い事態であります。顕在化したリスクとしては、「普段からウィニーに注意してください」と言いながら、自分の会社の職員がこんなことになってしまって、だらしがない・・・、といった倫理的な非難を浴びること・・・・・で済むのであれば御の字だと思います。私などはＩＴ素人なものですから、倫理的なことよりも、そもそもここの職員さんがファイル交換ソフトを使うとしても、（どういった立場のお仕事だったかは存じ上げませんが）その「恐ろしさ」を十二分に知っているはずだから、かならず自衛策を講じているはず・・・、にもかかわらず簡単に流出騒ぎを起こしているということは、しょせん、組織的にも、たいした技術は持っていないのでは？と邪推してしまうことが第一印象であります。たとえばＩＰＡのサイトでは、ファイル交換ソフトによる情報流出を防止するための技術的な対策がリリースされておりますが、私からすると、当該職員さんは、こういった対策を当然に講じていたにもかかわらず、ＰＣをウイルス感染させてしまい、さらに感染していることに気付かずに情報を流出させてしまった（しかも流出していることすらわからない）と思います。ということは、推奨されている対策というものが何ら無意味なものではないか？と考えてしまうのであります。（これは全社的リスクだと思います）私のようなＩＴオンチの一般人からこういった「邪推」をされてしまうところにもっとも大きなリスクがあるのではないでしょうか。

ＩＰＡとしては、再発防止策として「私物PCでファイル交換ソフトを使用することを禁止する」ということだそうですが、これは倫理的な非難のレベルのリスクには対応可能でありますが、「そもそもなにもわかっていない組織なのでは？」といった技術面での信用毀損のクライシスには対応していないものと思います。むしろ、ＩＰＡ自らリリースされているような対策を必ず毎日チェックすることを規定化するとか、もう少し今回の職員さんのセキュリティチェックの状況を公表して、組織の技術的な対策が間違っていないことを広報するとか、そのあたりのマネジメントも必要ではないかと思いますが、いかがでしょうか。