セキュリティ犯罪の攻防で戦場化したＳＮＳ

セキュリティ犯罪の攻防で戦場化したＳＮＳ

日本のＳＮＳ最大手だったＭＩＸＩ（ミキシー）はユニークで魅力的なサービスを満載しているが、この数年の間に存在感を急速に失っている。海外のTwitterやFacebookが急速に広まった影響が大きい。Google+はまだプレゼンスは小さいが無視できない。また新興のLINEも既に3億アカウントを達成した模様で、依然流動性は高い状況が続いている。

SNSは若者文化の象徴的な存在の一つであったが、今は普通の勤め人、主婦、シニア世代まで取り込んで社会インフラの一環をなすものにまで成長している。そのことで一般企業までもがＳＮＳにアカウントをおく時代になった。

企業の側から見れば従来は社員がＳＮＳに加入することは個人的な活動範囲のもので会社とは関係ない話だったが、今はそうは行かない。社員のＳＮＳを経由して情報が漏れる、社員がアタックを受けて会社信用まで失う。

.*.

今、ＳＮＳで問題が大きくなってきたのは”成り済まし”。今までも他人が勝手にＳＮＳにアカウントを作ることはあったが、最近目立ってきたのはパスワードを盗み取って行なう”乗っ取り”だ。

どのＳＮＳもパスワードを忘れてしまった時の対応方法を用意している。

原理的にはソーシャルネットワークだけでなくカンパニーネットワークでも同じことだ。企業規模が大きい場合や、オフィスを持たない社員への対応ではパスワード発行の仕組みも自動化している。

.*.

最近の傾向は2デバイス認証。携帯とパソコン。しかし、スマホはパソコンと同じ環境であるため2デバイス認証にも問題がないわけではない。

.*.

• Facebook

※

スペインの列車脱線事故(2013-07-24)のISMS教訓

スペインの列車脱線事故(2013-07-24)のISMS教訓

事故概要

7月24日、スペイン北西部のガリシア州サンティアゴ・デ・コンポステラで列車が脱線した。当局は25日未明までに、死者数が77人に達し、100人以上が負傷したと明らかにした。 73人の死亡が現場で確認されたほか、病院で4人が亡くなった。大幅なスピード超過（設定速度の倍？）でカーブに突入したのが脱線の原因。急ごしらえのディーゼル車両も組み込んでいたことが脱線を容易にしたとの情報もある。真の原因解明には調査委員会の報告を待つしかないが、1年くらいは掛かるだろう。

興味深いのは運転手は日ごろからスピード超過運転を試みていた節があること。其れは運転手のSNSへの書き込みから明らかになった。スペイン文化の特性なんだろうか、その書き込みを鉄道会社に誰も伝えていなかったか、伝えられたほうも無視していたか、結局は何も生かされなかったのだ。鉄道会社の無防備な姿勢は非難されるだろう。もっとも当事故は列車停止装置も作動せず、杜撰な管理のオンパレードになりそうだ。尼崎列車脱線事故も思い出される。

.*.

賢明な管理者なら理解すべきことがある。

航空会社や鉄道会社は一旦事故が起きると重大事故になること。そのためテロのターゲットにもなりうる。他にも重要施設の管理では同様のリスクを抱えている。奇しくもNSAの情報収集がスノードンの告発を受けて問題になったが、日常的な情報収集が重要なのは言うまでも無いことだ。

ネット上の関連情報はSMSサイトも含めて収集し、リスクの有無をチェックする必要がある。フリーのツールで誰でも出来ること。

加えて、社員のSNSは社内情報の流出、炎上被害などを考慮して、監視の対象とすべきだ。

.*.

日本での事例としては、コンビニのアイスケースに人が入って営業妨害の事件が続けて2件発生しているが、これもSNSサイトが炎上し、その後ようやく外部からの指摘で当事者（コンビニ本部）が気付く始末だ。

ネット上の、あるいはSNS上の自社企業・自社製品・自社サービスがどのように話題になっているかを継続的に監視するのは今の時代では最早避けて通れない取り組みだ。監視は24時間。外部委託でも構わないが、社員のSNS監視まで外部に委託するのは躊躇うかもしれない。

.*.

（１）リスクアセスメント

ネット上の情報を監視しないときのリスクを評価。他人ケース、社員ケース。

（２）対応

役割責任の設定。基準と手順の開発。実施とレビュー。

事業継続管理との連携を含める。

.*.

社員のネット炎上は個人問題にとどまらず！急がれる支援体制の充実！

社員のネット炎上は個人問題にとどまらず！急がれる支援体制の充実！

前々からSNSを利用する社員の不用意な書き込みで企業情報が流出するリスクは指摘されている。SNSを閉空間と勘違いしている人間は案外多いものだ。友達が社員ばかりだからつい気を許して仕事の話をはじめてしまう。

仕事の話や会社の話でなければセーフという訳でもないのが「炎上」の話です。炎上は多分中国では日常茶飯事。ネット社会だけが民意のはけ口みたいなものだから当然でしょうね。とは言え、炎上の定義は曖昧ですね。

特定のサイト、特定の記事（エントリー）、特定の書き込み（コメント、つぶやき）に対する否定的な書き込みが集中すること。当然、アクセスも集中する。同時に、ネタもとの記事に関連して、特定の個人、団体に対する否定的な記事･書き込みがネット上のあちこちのサイトに書き込まれること。

問題となった記事やサイトは閲覧不可・運用不可となり、削除・閉鎖に追い込まれる。

発端がネットへの書き込みによることもあるが、関係者のメディア等での発言や不祥事などの報道などを発端とすることもある。

.*.

個人的なことであっても会社のサイトに炎上が及ぶ。社長の不祥事で炎上なら諦めもつくが、そういう意味では全柔連のサイトはいつ炎上しも可笑しくないのですが、一社員の個人的なことで会社のサイトが炎上したら超一大事。いつの間にか世論の攻撃対象になるのだから士気も落ちる。客も引いてしまいます。ネットビジネスの場合はネットが使えなくなるので事業継続上の問題となり更に深刻です。

.*.

対策は？

教育は月並み。当然だけど、前々不足ということだ。

車内のヘルプデスクのサポート範囲（サポートメニュー）に社員の個人的な炎上への対策を加えることだ。謝罪や応対の文面、ネット上からの削除（プロバイダーへの依頼）、検索エンジンへの対応など素早く行なうには組織的な非戦が有効だ。社員が個人でおろおろしている間に火の手は会社サイトにも押し寄せます。

.*.

復興庁「水野靖久」参事官（45）のツイッター暴言は他人事にあらず！

復興庁「水野靖久」参事官（45）のツイッター暴言は他人事にあらず！

復興庁「水野靖久」参事官（45）がツイッター上に復興支援先に対する本音を匿名で語ったが、内容は相手を侮辱する暴言の羅列。

多くの官僚・公務員がＳＮＳで溜飲を下げているのだろう。リタイヤ組みは勿論、現役組みも。

ISMSは？

匿名は意味が無い。いろいろな方法で特定することが出来る。思わぬ場面で流出することもある。問題があって当局やＦＢＩが出てくれば、当事者でなくても露出する。問題になればプロバイダーは開示してしまう。

企業組織にいてＳＮＳを利用することは攻撃相手にソーシャルエンジニアリング上の手がかりを与えることだ。

ＳＮＳ利用ガイドラインの基本は、ＳＮＳを利用しないことです。利用する場合は矛盾するが個人を特定する情報を入れないこと。業務上の情報を載せないのは当然だが、個人を晒すこと自体が問題だ。

事務局は、審査機関が組織としてＳＮＳを迂闊に利用してたり、審査員や事務職員がＳＮＳに名前を連ねるような状況の場合は注意しよう。審査機関を変更することも考慮すべきだろう。ＳＮＳのリスクを理解できない審査機関にセキュリティの審査を委ねるのは愚行でしかない。

最近の事故・事件・重大ニュースは多くがＳＮＳのリスクを示唆するものだ。知らなかった。想定外では説明責任は果たせない。

.*.

フェイスブックの中の審査機関-08

フェイスブックの中のデット・ノルスケ・ベリタス(DNV)


フェイスブックは既に10億人を超える利用者がいますから、審査機関の人も、審査員の人もアカウントを持っているでしょうが、審査員の資格でアカウントを公開する是非は議論が残ります。審査員の倫理的行動義務に違反していないか。

そんな馬鹿な。それは考えすぎでしょう。全く問題になりません。名刺を渡すのと変わりません。業務上の情報が載せられている訳ではありません。世界の10億人が見ているなら開示された情報はプライバシーも何もありません。むしろ本人確認が出来て返って好ましい？。


もし、

• 裁判官がフェイスブックアカウントに自分は裁判官だと記載したら如何思いますか。オープンでなかなかいいと思いますか。色々な誘惑が懸念されますね。裁判の公平性・客観性に対するリスクを抱えることになります。

• 営業マンがアカウントを持っていたら営業機会の向上に貢献できる。

• 審査員の場合はいかがですか？

1. 審査員を営業的に捕らえるところは公開を率先させるでしょう。!?
2. 審査員を審査員として捕らえるところは公開を制限するでしょう。!?

.*.

当該審査機関でフェイスブックのアカウントを持つ人はどれくらいいるんでしょうか？。たまたま見つけられたものを参考までにリストしました。最新の状況を反映したものでもありません。

.*.

フェイスブックの中の審査機関-04

フェイスブックの中の審査機関-04

フェイスブックは既に10億人を超える利用者がいますから、審査機関の人も、審査員の人もアカウントを持っているでしょうが、審査員の資格でアカウントを公開する是非は議論が残ります。審査員の倫理的行動義務に違反していないか。

そんな馬鹿な。それは考えすぎでしょう。全く問題になりません。名刺を渡すのと変わりません。業務上の情報が載せられている訳ではありません。世界の10億人が見ているなら開示された情報はプライバシーも何もありません。むしろ本人確認が出来て返って好ましい？。

もし、

• 裁判官がフェイスブックアカウントに自分は裁判官だと記載したら如何思いますか。オープンでなかなかいいと思いますか。色々な誘惑が懸念されますね。裁判の公平性・客観性に対するリスクを抱えることになります。

• 営業マンがアカウントを持っていたら営業機会の向上に貢献できる。

• 審査員の場合はいかがですか？

1. 審査員を営業的に捕らえるところは公開を率先させるでしょう。
2. 審査員を審査員として捕らえるところは公開を制限するでしょう。

.*.

当該審査機関でフェイスブックのアカウントを持つ人はどれくらいいるんでしょうか？。たまたま見つけられたものを参考までにリストしました。最新の状況を反映したものでもありません。

.*.

審査機関あるいは審査員のＳＮＳ利用の是非

審査機関あるいは審査員のＳＮＳ利用の是非

審査機関の人間がフェイスブックとかツイッターとかのＳＮＳを実名で利用しているのを見ると奇異に感じる。何故だろう？。普通の学生でも、サラリーマンでも、専業主婦でも、自営業でも、フリーターでも、年金生活者でも、誰も彼もがＳＮＳに染まる時代だ。

ＳＮＳは個人名、履歴、信条、交友関係など個人的な詮索の対象になる情報が溢れ返っている。

だから、警察官とか、裁判官とか、教員とか、ある特定の役割を担う職業に付く人は、職務上のことではあっても、個人的な恨みを買うことがあり、また賄賂などによる不正の対象にもなるため、必要以上に個人情報を晒すようなことはしない。

審査員という職業、認証審査という事業はどのように見るか。厳正にやればクライアントと衝突し反感を買うこともある。一方で甘い審査を望めば個人的な懐柔も厭わないものだ。

ＳＮＳに晒すということは、厳正・厳格な審査はやりません。個人的アプローチは大歓迎と言っているようなものだ。

李下に冠を正さず。

普通に正しい審査機関はＳＮＳなど利用しないだろう。不適合所見など書かないと決めて掛かっている審査機関ぐらいしかＳＮＳは利用しないだろう。

ＳＮＳのメカニズムを社内の情報共有に使うのとではまるで意味が違ってくる。世間のＳＮＳ利用はその審査員、その審査機関の意識が何処にあるか推測できるというものです。

.*.

フェイスブックのセキュリティリスク事例：オランダ少女の誕生パーティ暴動

フェイスブックのセキュリティリスク事例：オランダ少女の誕生パーティ暴動

オランダの少女（１６歳）が誕生日の案内をフェイスブックで送るのに、友達と間違えて一般公開で送ってしまった。多分、時間、場所などプライベートな情報も載せているだろう。多くの若者（数千人？）が少女の家に集まり、一部は暴徒化して大騒ぎになった。警察は騒ぎを懸念し、少女と家族は事前に避難していたとのことだ。

これがＳＮＳの怖さの一つ。

今のフェイスブックでは流出した情報はシェアとかすることでどんどん広がる仕組みに成っている。普通のウエブサイトの欠点と同じ特性でＳＮＳとしてのよさがない。共有・公開・オープンは正義と信じ込んでいる主催者の愚かさの一つが現れた格好だ。

.*.

取り消し機能。記憶されない権利の実現。追い掛け消去機能。

やろうと思えばＳＮＳなら出来ることだが、やればＳＮＳの優れた特徴として評価されるが、そのことに対する取り組みについては何も情報が示されない。

この閉鎖性が問題なのだ。ＦＢはオープン化のためのツールと主張しているが、その中身はクローズそのもの。

ＩＳＭＳ的に見れば、こんなあやふやなツールを業務インフラに仕立てることは無理がある。

オランダ少女の事件も流出した誕生パーティ情報だが、会社情報の場合は、更に深刻になるかもしれない。

.*.

SNSフェイスブック(Facebook)の脆弱性

SNSフェイスブック(Facebook)の脆弱性

フェイスブック内で利用できるアプリに対する審査機能が実質的に存在しないこと。世界の10億の利用者を狙うアプリ開発者は半端な数じゃないから、少数の担当者を置いても事務的な管理（電話番号とかクレジット番号の管理？）が関の山で、内容審査は出来ていないのだろう。

日経から流れてきた記事を見ると、スマホのアプリで問題となった状況と同じような個人情報を盗み取るアプリが蔓延したようだ。悪質アプリを誰かが使うと友達リストから友達に勝手にこのアプリを使いませんかのメッセージが送られてしまう。連鎖反応的に広がる訳だ。このアプリ自体は設定色を変更できるなどの一見無害な機能提供を謳っている。その実、せっせと個人情報を集めるか（指定のサーバーに送信）、ボットとして待機するか、何れ良からぬ事が推測できる。

.*.

ISMSのメッセージは？

（１）BYOD（バイド～ビヨド）：オフィス業務での自前デバイス利用などとんでもない話と捉えることが出来る。会社へ持ち込んだスマホは音声、静止画、動画、ビジネス文書が溜められるのだから。

（２）自宅のパソコンでSNSをやることはどうだろう。PC対応のアプリもある（もともとPC対応が普通のことです）。自宅パソコンには業務情報はないと言い切れる訳でもない。

だからBYODもSNSもご法度では世間は回らない。セキュリティを確保するルール・基準を作って適用し監視する基本をやればよいのだが、何処まで網を張るのかが難しいと感じられる。

.*.

ビジネスマンの新IT非常識

ビジネスマンの新IT非常識

雑誌にビジネスマンの新IT常識（ITリテラシー）とする記事が出ていたが結構これは大変だなと。第3回とあるから連載記事なんだろう。しかし、この記事を書いた人は大手企業のセキュリティ事情と個人事業者のセキュリティ事情を取り違えている可能性がある。注意されたい。

1. （新常識）
   会社と同じメアドで自宅でもメールが出来るようにする。アドレス帳も移行させる。
   （非常識）
   会社業務関連の情報が自宅に勝手に保管されることになり問題。メアド情報自体も持ち出しは不適切。
2. （ 新常識 ）
   仕事用のメールはスマホを使って24時間チェック。
   （非常識）
   私物のスマホ内に会社情報が蓄積されないか。スマホ自体の安全にも対策は出来ているのか。個人のスマホが管理状態にあるのかどうか。
3. （常識）メールの添付忘れ防止のために、メール送信は一旦送信ボックスに留め置かれる設定にする。
   ⇒ 確実ではないが一定の効果は期待できそうだ。
4. （ 新常識 ）取引先メールをスマホでダブルチェックするために一旦全てをGメールに転送。
   （非常識）スマホ利用の是非に加えて、Gメール利用の是非も判断が必要。とは言え企業内にGメールを導入しているケースもあり並みのメールシステムよりはセキュア。フリーソフト禁止で一括りする会社はIT部門が弱い証拠だ。
5. （ 新常識 ）
   営業活動などでは積極的にそー者ネットワーク（ツイッター、フェイスブック、グーグル+、タンブラー、リンクトインなど）を利用する。
   （非常識）
   ソーシャルネットは双方向の情報サービスで受ける情報も有れば出す情報もある。利用基準を定めなければうかつには利用できない。異なる顧客の情報が錯綜しないか。その前に組織として利用基準が必要。定めが無いときは取り敢えず自由なのか禁止なのか。問題は、会社では禁止しても私的な情報交換の範疇に入ってくるとどこまで拘束できるか。
6. （ 新常識 ）
   フェイスブックのビジネス利用ではプロフィールの公開範囲を友達の友達までとかに制限すること。又プロフィールの検索が出来ない設定にすること。仕事仲間のサイトを紹介。
   ⇒ ソーシャルネットSNSのビジネス利用は個人事業無ければ先ず無理でしょう。個人事業は仲間内の共感・協力を得て進めることができるのでSNS利用にも大きな矛盾を抱え込まないで住む場合もある。
7. （ 新常識 ）
   外出先・出張先の待ち合わせにスマホSNSのチェックイン機能を使う。FBの場合は情報公開相手を特定して指定するのが面倒だが、Google+のサークルを使えば簡単に出来る。
   （非常識）
   しかしSNSに参加しているのが前提になるから、一般利用は無理でしょう。
8. （ 新常識 ）
   ソーシャルネットのプロフィールを個人用と業務用（ビジネス用）と分けて2つ持つ。
   ⇒目からうろこだね。主催者がいきなり禁止してこなければいいが、公私混同の改善には有用と思われる。その場合も運用の限界、誰がどのようにチェックできるのか、課題も多い。

.*.

社員のソーシャルメディア利用リスクに対応するガイドライン

社員のソーシャルメディア利用リスクに対応するガイドライン

ソーシャルメディア

ソーシャルメディアとはツイッターとかフェイスブック等のＳＮＳとかブログとか電子掲示板とかホームページとか、要は世間（社会）に情報を晒す媒介となるもの。これらは全て検索ロボット等の検知システムによって、変化点（新たな書き込み）があれば数分以内に捕捉されてしまいます。一旦捕捉されればネット上のキャッシュに保存され伝達されますから際限なく情報は流れ広まります。

このようなソーシャルメディアは殆どの場合、無料で提供され非常に多くの人が私的理由で利用しているものです。

企業に勤めるサラリーマンも会社では社員でも家ではソーシャルメディアのユーザー。公私混同がうっかり行われれば会社情報の漏洩に繋がります。アルバイトであれ季節労働者であれパートであれ契約社員であれ同じです。

ソーシャルメディアは企業にとっては安全を脅かす存在であるが利用禁止は不可能。ソーシャルメディアを活用したマーケティングが行われる時代、禁止することは自己矛盾を持つ。その前に言論自由など基本的人権に触る懸念もある。

.*.

ソーシャルメディア利用ガイドライン

企業が取れる対策はガイドラインの策定と教育・周知。会社内の規定類で埋められない領域に対するスタンスの明確化。やり過ぎるとそのこと自体が問題になるので注意が必要。ソーシャルメディアを利用する時のガイドライン。

• 所属企業の活動・サービス・商品などに関わる情報発信時の注意事項。
• 自分が企業人であることを名乗っているときの注意事項。
• ソーシャルメディアを業務利用する時の注意事項。

 大事な事は、組織としてのスタンスを明確にすること。運用を踏まえて組織文化に適合させていくこと。ソーシャルメディア環境変化への対応を適切に行うこと。

.*.

炎上リスクへの対応：

社内に専門チームの設置が必要。兼務でも充分ですが、体制として明確にしておくべきです。ＩＳＰとのやり取り、記事の削除あるいは掲載中止、検索エンジンサイトへの処置など、一連のことをスムーズにやる必要がありますが、ここを個人に任せておくと問題を収束できず、会社全体の信頼を損ねる事態に発展することも懸念されます。

人的セキュリティに対する適切な管理策の策定が必要になります。

.*.