職場のパソコン利用について（このような制限があるのは一般的ですか？）

質問

いまの会社では、職場でのパソコンの利用や活用方法で、幾つか制限があるのですが、皆さんの会社と比較して、感想など教えていただけますでしょうか？

1) 会社のパソコンを、会社外（家などを含む）に持ち出すことは禁止。
2) 仕事を家に持ち帰ることは禁止。
3) 家の個人のパソコンから、VPNなどで会社のパソコンに接続するのは禁止。
4) 会社のメールを、プライベートなメールに転送することは禁止。
5) メーラーに、メールアカウントのパスワードを保存するのは禁止（メールを受信するたびにパスワードを入力します）。
6) 会社で支給されるパソコンは、原則デスクトップ（ノートPCは、盗難の危険性が高まるので）
7) 会議にPCを持ち込む事は、あまり好まれない
8) 業務のデータはファイルサーバに保管するが、部署ごとにフォルダを切り分け、他の部署のフォルダにアクセスするのは原則禁止（フォルダ単位でアクセス権が設定されています）。「部署内」の情報共有は奨励されていますが、「部署間」の情報共有はあまり好まれていない印象です。
9) トイレなどで席を外す時は、原則ログアウトする。

上記の禁止の理由は、すべて、「機密情報保持」の名目です。

社内では「IT利用はもっと厳しくするべき」「昨今、機密情報の流出について世間の目はますます厳しくなっている」という意見と、一方で「メールを見るためだけに休日出勤しなくてならなく不便」、(8)においては、「部署間の縦割りに繋がり、となりの部署が何してるのか分からない」といった意見もあります。

このカテゴリはITの専門家が多いと思いますので、併せて質問ですが、今後、このような制約はますます強まっていくのか、技術的な解決策が出てきて、緩和される方向に行くのか、皆さんの考えを教えてください。

回答No.7

AmuroRay

ども。
初級シスアド、システム管理実務です。

企業においてはネットワークポリシー、プライバシーポリシー、セキュリティポリシーを定めネットワークシステムを健全に管理運営する義務があります。
ですから質問者さんがあげた9項目については特に厳しいものでもなく、ごく一般的だと思います。

コンピュータや電子情報を扱うことに免許のような共通のルールが存在しないので、個人や組織ごとに一般的に推奨されるルールを設定して遵守することが必要です。さもなければ、無法地帯になります。
利用者の数だけ管理者が管理負担をするのですから、低コストでセキュリティポリシーを実現するにはごく自然な手段だと思います。

でも、質問者さんのあげられた様なセキュリティポリシーを設定、遵守させているところであっても、現実情報漏えいが発生していますね。
代表的なのは海上自衛隊のイージス艦に関する情報漏えいがありました。世界トップレベルのセキュリティポリシーが適用されている環境なはずなのですが…、これではアメリカからの信頼は得にくいでしょう。

私はその情報ネットワークシステムの立案、運営、管理を任されている立場からの意見ですが、これらのことは当然ととらえています。

また、管理者として「IT利用はもっと厳しくするべき」とも思います。
また、利用者として「メールを見るためだけに休日出勤しなくてならなく不便」「部署間の縦割りに繋がり、となりの部署が何してるのか分からない」とありますが、そもそもメールだろうと紙面だろうと休日に確認すること自体不自然ですね。勤務時間内に行うことが前提です。実際はそうもいかないのですが、メールが絶対であることが前提されているのもおかしいですね。
メールを自宅で確認したいというのは、利用者側すれば希望です。管理者側からすればわがままかもしれません。機能性と機密性については利用者だけ、管理者だけの方針ではお互い権利を主張しあうだけになると思います。
ですからその辺は会社としての方針、セキュリティポリシーに従った、あるいは改善、変更されたものに従うべきでしょう。

休日のメール確認やVPN接続もこれらのポリシーにしたがった資源が提供されるのなら機能が増えても良いと思います。
ただ、利用者は機能が増えた分責任も負うことを自覚する必要があると思います。

また、「部署間の縦割りに繋がり、となりの部署が何してるのか分からない」に関しては、業務データと意思コミュニケーションは別のカテゴリだと思います。
銀行で言えばお客様個人の口座残高などの重要機密情報は例え社内であろうと公開されるべきものではない、すべきものではないと思います。
現在進行中のプロジェクト、斬新なアイディアや積極的な意見の公募、異部署間のコミュニケーションなどは、社内ウェブサイトに公開、掲示板やグループウェアなどのツールを利用するべきだと思います。そうすれば、機密情報とコミュニケーションの両立が可能だと思います。データファイルだけが意思疎通の材料ではないはずです。
このようなものを使わなくても、実際に異部署同士でミーティングを行えばいいのではないでしょうか?こちらの方が重要と思います。

また、質問者さんが提示されたセキュリティポリシーは企業活動を制約するものではなく、あくまで機密情報漏洩の防止策ですね。
企業活動を活発にする手段は他にも様々あるはずです。

という感じですが、いかがでしょうか?
ご参考までに。