現場でよく聞く言葉があります。

• 「このルール面倒ですよね」
• 「そこまでやりますか？」
• 「今まで問題なかったですよ？」

でもDAY47で見ました。

社内ルールは、
誰かを縛るためではなく、
事故を防ぐための"仕組み"です。

まず結論です。

• ✅ ルールは再発防止策（過去の事故から生まれた）
• ✅ 3原則（機密性・完全性・可用性）
• ✅ 形だけでは意味なし（実効性が重要）
• ✅ 理由説明が重要（納得すれば守られる）
• ✅ バランス設計がITサポートの仕事

📊 今日のゴール

• ✅ ルールが生まれる背景（再発防止策）を理解する
• ✅ CIA原則（機密性・完全性・可用性）を学ぶ
• ✅ よくある社内ルールの目的を知る
• ✅ ITサポートの役割（監視ではなく設計者）を理解する
• ✅ セキュリティと利便性のバランスの重要性を学ぶ

📝 DAY48まとめ

• ルールは再発防止策：社内ルール=過去の事故から生まれた予防策。なぜ増える：①事故が起きる、②再発防止策を追加→経験の積み重ね
• CIA原則（情報セキュリティの基本）：①機密性（Confidentiality）：見てはいけない人に見せない（例：アクセス権限管理、暗号化、パスワード保護）、②完全性（Integrity）：勝手に改ざんさせない（例：変更履歴記録、承認フロー、バックアップ）、③可用性（Availability）：必要な人が使える（例：システム冗長化、バックアップ、障害対策）。この3つを守るためにルールがある
• よくある社内ルール①パスワードポリシー：文字数12文字以上推奨、変更ルール（漏洩疑い時のみ変更、定期変更不要）、二要素認証必須（メール・クラウド・管理者アカウント）。目的：DAY44-45で学んだパスワード管理と2FAの実践
• よくある社内ルール②持ち出し制限：USB禁止（原則USBメモリでのデータ持ち出し不可）、私物PC利用禁止（セキュリティ管理外端末使用禁止）、クラウド推奨（SharePoint、Google Drive等利用）。目的：DAY47で学んだUSB紛失リスク回避
• よくある社内ルール③アクセス権限管理：必要最小限（業務に必要な範囲のみアクセス可能）、部署単位制限（営業部フォルダは営業部のみアクセス）、定期見直し（年2回権限レビュー、退職者即座削除）。目的：DAY47で学んだアクセス権限ミス防止
• よくある社内ルール④メール送信確認：宛先再確認（送信前にTo/Cc/Bcc目視確認）、添付暗号化（機密情報はパスワード付きZIP化）、送信遅延（送信後30秒〜1分間取り消し可能）。目的：DAY47で学んだメール誤送信防止
• 守らないと何が起きるか：①顧客情報漏洩（1人平均29,768円損害賠償、顧客離れ解約率+30-50%）、②業務停止（システム障害、データ喪失で業務が回らない）、③法的責任（個人情報保護委員会からの勧告・命令、刑事罰可能性）。ITサポートも責任対象
• ITサポートの役割：❌取り締まり役ではない、⭕事故予防の設計者。大事なのは：使いやすさ（現場の業務を妨げない設計）、現実的運用（理想だけでなく実際に守れる内容）→守れるルールであること
• 守られないルールの特徴：①理由が説明されていない（「会社の決まりです」だけでは守られない、なぜ必要か説明重要）、②現場に合っていない（現場の実態無視した理想論、業務が回らなくなる）、③形だけの運用（チェックリスト埋めるだけ、実効性確認なし）→実効性ゼロ
• 伝え方：NG「会社の決まりです」（理由不明→反発→守られない）、OK「事故を防ぐためです」（理由明確→納得→遵守）、「守らないとこうなります」（具体的な影響説明）。理由が伝われば行動が変わる
• 便利さとのバランス：セキュリティは強すぎてもダメ。強すぎると：現場が回らない、抜け道が生まれる、業務効率低下。弱すぎると：事故発生、情報漏洩、法的責任。バランスが重要
• ITサポートがやるべき3つ：①ルールの意味を説明できる（なぜこのルールがあるのか具体例交えて説明）、②現場と調整する（現場の声を聞き、実態に合ったルールに改善）、③実効性を確認する（定期的にルール遵守率測定、形骸化防ぐ）
• セキュリティポリシー策定率：IPA調査で何らかのポリシー策定82.3%（従業員1000人以上では96.8%）、文書化68.5%、従業員周知54.2%、定期見直し38.7%。中小企業策定率低い（従業員50人未満37.8%）
• ルール増加背景：過去10年間でセキュリティポリシーの平均ページ数、2014年18ページ→2019年32ページ→2024年47ページと約2.6倍増加。追加理由：情報漏洩事故52%、法令改正対応28%、新技術導入12%、監査指摘8%
• ルール遵守率：JNSA調査で「常に遵守」38.2%、「概ね遵守」45.7%、「時々守らない」13.5%、「ほとんど守らない」2.6%。約16%が守っていない理由：面倒42%、理由分からない31%、現場に合わない18%、時間がない9%
• CIA侵害事例割合：JNSA調査で①機密性侵害68.3%（情報漏洩、不正アクセス、誤送信）、②可用性侵害22.5%（システム障害、DDoS攻撃、ランサムウェア）、③完全性侵害9.2%（改ざん、データ破壊）。機密性侵害が最多で情報漏洩対策が最重要課題
• シャドーIT問題：セキュリティルール厳しすぎると何らかのシャドーIT使用68%。理由：会社のシステム使いにくい47%、承認プロセス遅い32%、必要な機能ない21%。シャドーITは管理外でセキュリティリスク高く本末転倒
• 適切なバランス指標：①セキュリティルール遵守率80%以上目標、②業務効率への影響：セキュリティ対策による業務遅延10%以内、③ユーザー満足度：「セキュリティと利便性のバランスが取れている」回答70%以上
• 成功事例：大手IT企業で①シングルサインオン導入、②パスワードレス認証、③クラウドストレージ推奨、④自動暗号化によりセキュリティ強化と利便性向上両立。結果：ルール遵守率62%→89%向上、セキュリティインシデント-47%削減