変化し続ける環境に対応するbeatサービス：個人情報保護、そして次なるセキュリティ対策へ

[ITmedia]

　この4月1日より個人情報保護法が全面施行となった。これを機に、「自社の情報セキュリティはどうなっているんだろう」「今やらなければならない対策は？」と、焦燥にかられた企業担当者も多いのではないだろうか。

　個人情報保護法では、5000件以上の個人情報を保有する事業者に、利用目的の特定や公表、安全管理措置、監督責任、開示請求などへの対応といった具合に、さまざまな義務が課される。その背景には、たとえ企業が収集したものであっても、個人情報は自由に利用できる資産ではなく、あくまで消費者からの預かり物である、という考え方がある。

　かつて、Webサイトの改ざん被害が相次いだことを背景に不正アクセス対策の必要性が指摘されたころ、企業側からこんな言い訳が聞こえてきたことがある。「うちはそんなに大きな会社ではないから狙われるはずがない」「大事な情報は扱っていないから、やられたって平気だ」……しかし今や、そんな言葉が通用するわけはないことはよくお分かりだろう。個人情報そのものが大きな財産だからだ。

　その上個人情報保護法では、何らかの事業を外部に発注する際に「委託先の監督義務」が求められるようになっている。業務を受注する側から見れば、きちんと個人情報を保護できる体制を備えているかどうかが、取引の継続を左右する重要な条件になるということだ。

　このようにあらゆる企業にとって、個人情報保護法の遵守と、その前提としての不正アクセス対策が必須になっている。

「で、具体的にはどうすれば？」情報の大海を前に担当者の悩みは深い

　しかし、現実は厳しい。個人情報保護法の施行以降も、情報漏えい事件は後を絶たないのが現状だ。ノートPCの盗難や置き忘れによって紛失したケースもあれば、つい先日明らかになったクレジットカード情報の大量流出事件のように、脆弱性を突いた不正アクセスが原因となっているケースもある。いずれにしても漏えいを機に、その企業の顧客や取引先からの信頼が失われてしまったことだけは間違いないだろう。

　だからといって、そうした事件を防ぐための方法がないかというと、そういうわけではない。たとえば経済産業省が策定した個人情報保護法に関するガイドラインでは、4つの側面から、さまざまな安全管理対策を施すよう求めており、そうした項目を満たせば、最低限の対策は実現できていると考えていいだろう。

　しかも本屋に足を運べば、「個人情報保護法対策」をテーマにした本が山積みになっているし、情報漏えいを防ぐことを売りにした「セキュリティ製品」「セキュリティサービス」は続々と提供されている。

経済産業省のガイドラインではさまざまな方向からの対策が求められている

　だが冷静に見てみると、個人情報保護法をきっかけにした一連の「製品」の中には、ブームに乗り遅れまいというだけのものも多い。本当に自社が安心して頼めるサービスなのかどうかを見極める「目」が必要だ。さもなければかえって情報の波におぼれ、本質を見失いかねない。

　中小規模の企業の場合、問題はさらに深刻になる。

　大企業であればたいていの場合、ITを専門とする部署や子会社がある。その中にはセキュリティに明るい担当者も何人かはいるはずだ。しかし企業の規模が小さくなればなるほど、そうした仕事に割ける人員は少なくなる。営業や総務などの仕事をしながら片手間に、IT関連の作業を担当しているケースも少なくはない。そういった担当者に、さまざまな製品の中から自社に必要なものを選びだし、環境に合わせて導入していけと言っても無理な注文だ。

　そもそも、企業にとっての「本業」はITではない。中にはITを事業の核としている企業もあるが、大半の企業にとって、ITは事業を支える重要な、そして有効なツールではあるが、本業ではない。そこばかりに時間とお金を投じるわけにはいかないのだ。「対策は必要だが、具体的に何をすればいいのかが分からない」――それが、多くの担当者が抱える悩みなのだ。

オールインワンでお任せ新たな変化やニーズにも常に対応

　そうした企業にとって有効な選択肢の1つが、セキュリティ対策や日々のオペレーション／運用も含めた形で支援してくれるアウトソーシングサービスである。富士ゼロックスが提供しているオールインワンサービス「beat」もその1つだ。

　しばしば見受けるセキュリティ製品の売り込みトークに「これを入れれば大丈夫」といったものがある。だが現実はそうではない。IT技術、特にセキュリティをめぐる技術や状況はめまぐるしく変化している。その変化に常に対応し続けていかなければ、安全な環境は実現できない。

　その点beatは、「これだけで大丈夫」とは対極にあるサービスだ。顧客側にはbeat-boxを導入し、富士ゼロックスが運営するbeat-noc（ネットワーク・オペレーションセンター）から24時間365日体制で、インターネット接続状況やウイルスや不正アクセスをはじめとするセキュリティ状況をリモートから監視する。さらに、サービス自体が、環境や技術の変化、それに顧客の声に合わせて進化し続けてきた。

　そもそも個人情報保護法の目的は、情報を閉じ込め、いっさい外部から使えないようにしてしまうことではない。利用者の意図に反する利用法をさせないよう、漏えいしないように保護しつつ、企業がより便利な製品やサービスを提供していくために活用できる体制を整えることだ。

　その意味からも、常に進化し続けているサービス、beatは、情報漏えい対策、そしてその先を考える企業の強い味方になってくれるだろう。