プロジェクトでの情報漏洩対策も善意からの情報提供には無防備

ICT４８とかなんかひどいなーとは思いつつあまりの酷さにブックマにコメントだけして放置していたら　テレコムサービス協会が募集するICT48 よその応募用紙をパクリ、こっそり差し替えるもアーカイブされエビデンス残しまくりの件｜I believe in technology　のエントリがあって、中身を見たらICT４８とIT付いているのにITリテラシーの微塵もないぞとなっていて、草生えるしかないんだけど。

プロジェクトでもオフィスツール、excelとかpowerpointのプロファイルは外に出す前に確認しておかないと、過去のプロジェクトからテンプレートの流用がバレバレで過去プロジェクトの情報や作成者の情報を流してしまうことに対して指摘が入ることもあるので注意が必要なんですよね。

著作権や使用権を持っている文書の流用が拙いのではなくて、過去プロジェクトの情報が残ったまま今のプロジェクトに使われることで、今のプロジェクトの情報も眼の前で見ている他のプロジェクトのように他に情報が流出してしまうリスクに対して指摘をするんですね。著作権や使用権を持っていないテンプレートを使うのは問題外ですが。

プロジェクトの情報漏洩のヒヤリハット
前にこんなことがありました。

設問	あるメンバが他社のメンバと混成チームを組んでプロジェクトを担当している。そのメンバは、所属する会社の内部で発表されていた資料がプロジェクトの参考になるため、混成チームの中で共有した。 あるメンバの行動に何か問題はあるか。

回答	文書のオーナにプロジェクトでの公開の諾否を確認せずに共有していたことは、内部発表の資料から問題がある可能性がある。 他社メンバは対外にあたるため情報開示の規程違反としてインシデント扱いになる

回答にあるように、文書は文書オーナがいるものです。オーナとは所有者ね。文書オーナに対し、利用目的を説明をして利用許可を得ていれば問題はなかったかもしれませんが、それを無断で他社のメンバに公開してしまったことはセキュリティ上のインシデントにあたります。

文書などの情報の重要性は文書オーナがするもので、それを閲覧した側が勝手にしていいものではありません。さらに言えば、仮に文書オーナが良いと言っても、所属する会社の規程で外部に開示する際の手続きが定められていた場合、その手続きをしていなければコンプライアンス違反となり処罰の対象となってしまいます。

善意からくる罪意識のない行為
この例題のケースでタチが悪いのは、情報を共有したメンバが担当しているプロジェクトの参考になると善意で判断して行動した点です。こういうケースでの情報漏洩は日々起きる可能性が高いのですが、なにぶん善意で行っているという意識があるのでなかなか防止しずらいところでです。

所属する会社の内部で発表されいた資料は、内部とはいえ資料の性質上先にクレンジングをすることもありますが、クレンジングすることでリアルさが減衰ししてしまうことを起因とする関心低下という情報セキュリティの考えとは本末転倒の価値観でクレンジングせずにここだけといって内部開示することもままあるので、やはり閲覧したあとに他での利用を考えることは独断で判断することは避けたほうが良いです。

今時の情報を開示するまでの取り扱い
今時の組織内の文書は基本的に機密扱いと理解した上で、取り扱ったほうが良いです。一旦会社の中で生成された情報は形態を問わず機密情報＝confidentialとして扱うと思っていたほうが安全です。

対外的に情報を出す際は、規程に沿って手続きをすることはもちろん、規程に沿って手続きをしていれば自然とそうなりますが情報のオーナに許諾を得ることが必要です。

情報のオーナに許諾を得たとしても、オフィススイートなどのプロファイルにも作成者や説明などに過去プロジェクトの情報が残っていないかを確認してから開示することは必ずやらないければならないことです。