情報セキュリティ対策の難しさは、答えがありそうで、絶対的な「解」がないことだと思います。
情報セキュリティ対策の「きほんのき」といえる、安全なパスワード対策、ひとつとっても「解」はありません。
会社や組織は、パスワードポリシーを定めてます。パスワードポリシーとは、ユーザーが認証時に使用するパスワードに関する作成や設定の基準や条件を定めたものです。
たとえばー
- パスワードは、最低６桁以上とする。
- パスワードには、必ず、英字と数字を混ぜる。
というものです。
組織に所属している人が、自らの組織が定めたパスワードポリシーを見たとき、意見はまちまちだと思います。
６桁の英数字だったら、覚えやすくてちょうどいいわ。
６桁じゃあ、他人に盗まれるよ。せめて、８桁の英数字と記号を混在させなきゃ。
どちらの意見も間違っていません。パスワードポリシーは、一見「解」のようですが、利便性とセキュリティとしての強固さのバランスから、状況に応じた見直しが推奨されてます。意見によって変わる「解」は、絶対的ではありません。
パスワードは記憶に基づく認証方式です。そもそも、人間が記憶できないパスワードは、役割を果たしているとはいえません。しかし、自分が記憶しやすいパスワードは、当然、他人も盗みやすいのです。ですので、パスワードの漏えいリスクは増加します。
政府は安全なパスワードに対するガイドラインを定めてます。
国が定めた基準でも、根底から変わることがあります。
かっては、パスワードは定期的に変更をすることが、望ましいと定められてました。定期的なパスワード変更は、Pマークなど、情報セキュリティの第三者認証を受ける要件にもなってました。
しかし、いまの解釈は違います。
利用するサービスによっては、パスワードを定期的に変更することを求められることもありますが、実際にパスワードを破られアカウントが乗っ取られる等のサービス側から流出した事実がない場合は、パスワードを変更する必要はありません。むしろ定期的な変更をすることで、パスワードの作り方がパターン化し簡単なものになることや、使い回しをするようになることの方が問題となります。定期的に変更するよりも、機器やサービスの間で使い回しのない、固有のパスワードを設定することが求められます。
～「国民のためのサイバーセキュリティサイト（総務省）」
パスワードを定期的に変更することが、安全な対策と思われていたのが、180度ひっくりかえってしまったのです。
情報セキュリティは、リスクは予見して、リスクを回避・軽減するための対策を構築します。しかし、施したはずの対策が、新たなリスクを招くことはよくあります。
情報セキュリティ対策は、リスクマネジメントの一部です。
リスクマネジメントを必要とする領域は、情報セキュリティ以外にも幅広くあります。
話しは変わりますが、震災による大規模な自然災害への対策は、震災列島の日本では特に重要なリスクマネジメントの領域です。
ねぇ ねぇ もしかしたら
俺の方が正しいかもしれないだろう
俺がこんな平和の中で
怯えているけれど
反戦 反核
いったい何が出来るというの
小さな叫びが
聞こえないこの街で
～「核（尾崎豊）1987年」
尾崎豊は1980年代に「音楽を通じて反核・脱原発を訴えていく」イベントで、この歌を歌いました。
あれから時がたち、2011年に東日本大震災がおきました。
そのとき、わたしは新宿の高層ビルで働いてました。長時間、ビルは揺れ動き、窓の外では、超高層ビル群が波をうってる光景を見ました。このビル、ポキンと折れてしまうのではないかと、恐怖を感じました。
地震後に発生した高さ約13mの大津波により、福島第一原子力発電所の建屋が水浸しになりました。電源が消失し、ポンプが壊れ、燃料を冷やすことができなくなり、水素爆発を起こしました。
それまで、日本の原発は安全とされた根拠のない「原子力安全神話」が崩壊した瞬間です。
震災以降、原子力発電を稼働することに国民の多くが、リスクを感じるようになりました。
日本列島にある４つのプレートが相互に押し合い、沈み込み地震が発生します。特に日本海溝や南海トラフなどの沈み込み帯は、大規模な地震の震源となりやすい場所です。
東日本大震災を経緯として、地震・津波の多い日本で、原子力発電を進めるのは、危険という論調が高まりました。
でも、いまの状況は違います。
昨年、政府は「新しいエネルギー基本計画の素案」を公開しました。
このなかで、東日本大震災以降、エネルギー基本計画に、一貫して盛り込まれてきた「可能な限り原子力の依存度を低減する」という文言を消しました。再生可能エネルギーとともに、原子力を最大限活用していく方向転換をしました。
原発事故から時間が経過しました。大震災で感じた脅威は、薄れつつあるんだと思います。
30年以内に発生すると予想される南海トラフ地震は、マグニチュード8～9クラスと想定されてます。もし、発生すれば、東日本大震災の約10倍の被害が発生する可能性があると言われます。
それでも、原子力発電所の安全神話・第二幕がはじまったのです。
電力会社は大震災によるリスクを想定して、対策を構築しているでしょう。しかし、想定外のリスクもあります。
敵同士だったはずのアメリカとロシアが手を組み、強引に導かれる「平和」は、結果として多くの国が軍備を増強する方向に進む可能性があります。
もしものとき、原子力発電所は、敵から攻撃対象になることは容易に想像ができます。13メートルの津波に耐えらる設計はしてるかもしれません。しかし、空から爆弾を落とされても、施設は問題ないとは言えないと思います。
古い秩序は崩壊しつつあります。いま確実に言えるのは、新しい秩序が作られる保障がないなか、リスクは急速に広がってることです。
そのなか、根拠のない確信をもち、未来に展望を見出そうとしているようです。
