今週の日本経済新聞に「不正アクセスで情報漏洩、その時どうする まずはパスワード変更から」という記事が掲載されていました。9月末、カーシェアサービス「タイムズカー」を運営するパーク24が不正アクセスを受け、約160万件の運転免許証画像などが流出しました。さらに10月9日には、旅行予約サイト「スカイチケット」を運営するアドベンチャーが、最大で約1464万件の顧客情報が流出した可能性があると発表しています。記事は、こうした被害に遭ったとき、個人と企業がそれぞれどう動くべきかを整理したものです。個人であれば、IDとパスワードが漏れたらすぐに変更し、同じパスワードを使い回しているサービスもすべて変える。被害企業を装って「おわびにポイントを付与する」などと偽サイトへ誘導する詐欺メールにも注意する。そして日ごろから、使わなくなったサービスのアカウントを小まめに退会・削除する「棚卸し」を習慣づけたい、という内容でした。
時節柄、これは取り上げないわけにはいかない話題だと思います。連日のようにサイバー攻撃の報道が続いていますが、表に出ているのは氷山の一角で、公表されていない被害を抱えた企業も数多くあるのだろうと推察します。流出した情報が実際にどれほど悪用されているのかは、私にはわかりません。ただ、オンライン詐欺やアカウントの乗っ取りといった被害は、毎日のようにどこかで起きています。
実は私自身、昨年X（旧Twitter）のアカウントを乗っ取られた経験があります。ニュースの向こう側の出来事だと思っていたことが、ある日突然、自分の身に降りかかってくる。一度でも身近に被害が出ると、人は本当に敏感になるものです。それ以来、この手の報道を目にするたびに、他人事ではいられなくなりました。
もちろん、まずは企業にしっかりと対策を講じてもらわなければなりません。記事でも、不要なデータは集めず、いらなくなったデータは破棄するといった企業側の心がけが求められており、「データ取得は最低限」の企業こそが信頼を高めるという専門家の指摘が紹介されていました。とはいえ、企業任せにしておけば安心という時代ではありません。私たち個人もまた、自分の身を守る手立てを講じる必要があります。
記事にあるように、使っていないアプリやサービスを棚卸しする。パスワードを使い回さず、漏れたとわかればすぐに変える。どれも決して難しいことではありませんが、正直に言えば、面倒です。登録したことすら忘れているサービスを掘り起こし、一つひとつ退会手続きをするのは骨が折れますし、サービスごとに異なるパスワードを管理するのも手間がかかります。それでも、面倒だからこそ後回しにせず、やらなければならないことなのだと思います。
仕事の場面でも、似たような経験があります。会社として取引しているソフトウェアの中には、3か月ごとにパスワードの変更を強制されるものや、受信確認のメールに返信した段階で初めてパスワードが送られてくるものがあります。使う側からすれば、とても面倒な仕組みです。けれども、これだけ情報漏洩が相次ぐ状況になると、その面倒くささに一定の安心感を覚えるのも事実です。本コラム第267回では、個人の自己規律だけに頼るには限界があり、ときには組織として明確なルールや環境を設けることが、結果的に人を守る基盤になると書きました。面倒な手順が仕組みとして組み込まれていることのありがたさを、改めて実感しています。
これは職場の人材育成にも通じる話です。セキュリティのルールは、ともすれば「やらされるもの」になりがちです。しかし、なぜその面倒な手順が必要なのかを一人ひとりが理解していなければ、どれほど立派なルールも形だけのものになってしまいます。記事の最後では、情報漏洩が起きた後の現場の負担と疲弊を増やさないよう、経営層が報告の窓口を統一し、現場を守る姿勢が大切だという指摘もありました。ルールを示すことと、その意味を伝え、現場を支えること。この両輪がそろって初めて、組織としての備えになるのでしょう。
便利さや快適さを享受するのであれば、それに見合うだけの面倒くささを受け入れる。役に立つものを使いこなそうと思うなら、それなりの知識やスキルを身につけていく。オンラインの恩恵を受け続けるために、私たち一人ひとりが支払うべき「応分の手間」があるのだと、改めて感じる今日この頃です。
