ログインパスワードの必要性

質問

小さな会社で総務をしております。システム管理者ではないのですが、気になることがあります。
サーバー含めイントラネットの端末には、ログインパスワードがありません。
セキュリティソフトやフォーティネットのFortiGateなどが導入されているから大丈夫という風には言えるのでしょうか？
クロッカーや物理的な侵入者の手にかかれば情報は盗まれてしまいますよね？
『そんなことが起きる可能性は少ないよ』という経営者層に危機管理意識を持ってもらうにはどうすればいいでしょうか？

回答No.2

g_liar · ベストアンサー

セキュリティソフトの導入とログインパスワードの設定は両方を行ってなければ意味がありません。
パスワードを設定しないのは「ウチの会社に泥棒が入る可能性は少ないよ」と言って鍵をかけないでいるようなもんです。

物理的な侵入者の手でサーバやＰＣ一式を盗まれたとして、ちゃんとパスワードを設定していれば機器の損害だけで済みますが、今のままですと情報漏えいの損害賠償問題が追加されてしまいます。

日本ネットワークセキュリティ協会というNPO法人が「情報セキュリティインシデントに関する調査報告書」をまとめています。
最新の2009年版は以下のページの下の方に「２００９年 情報セキュリティインシデントに関する調査報告書 Ver.1.1」のPDF文書があります。
http://www.jnsa.org/result/incident/2009.html

これの37ページ目（PDF上で41ページ目）に「一人当たりの想定損害賠償額」があります。
2009年の平均額は１人あたり4 万9,961円。
年々少しずつ上がってるようですから、今だと5万を超えてるでしょうか。

どんな会社でも多かれ少なかれ個人情報を持っているものです。（顧客であったりお得意様であったり…）

経営層ってのはお金の問題には敏感です。
上の資料を元に、だいたいで良いですから社内にある個人情報の数を調べて、予想される賠償額をはじき出して突きつけてみてはいかがでしょう？
「信用を失ったことによる将来的な損害は計り知れません」の言葉を添えて。

お礼

ご回答ありがとうございます。
日本ネットワークセキュリティ協会の報告書は、読んでとても参考になりました。
あれを読んでセキュリティポリシーを含めた社内教育の必要性を感じずにはいられないですね。

回答No.3

bunjii

>クロッカーや物理的な侵入者の手にかかれば情報は盗まれてしまいますよね？
クラッカーですよね。
クラッカーに狙われたらログインパスワードが有っても役に立ちません。

>『そんなことが起きる可能性は少ないよ』という経営者層に危機管理意識を持ってもらうにはどうすればいいでしょうか？
システム管理者を選任して知識を習得して貰うことです。（社外委託でも良い）
そこから専門家としてセキュリティに関する提言をしてもらうと良いでしょう。

お礼

ご回答ありがとうございます。
＞システム管理者を選任して知識を習得して貰うことです。（社外委託でも良い）
＞そこから専門家としてセキュリティに関する提言をしてもらうと良いでしょう。
納得です。
システムに関して外部委託している部分はあるのですが、社内に詳しい人間がいないので逆に足元を見られてなにもしてくれていない状況です。
とりあえずは、説得力のある提言ができるように自分も知識を身につけていきたいと思います。

回答No.1

aokii

経営者層に危機管理意識を持ってもらうには、その情報が漏れた場合にいかに会社としてお金がかかるかを示してリスクの大きさを理解してもらう必要があります。

過去の情報漏えい事件の後始末の状況をネットや新聞等で調べて報告しましょう。

情報が漏れても良いような会社でも、個人情報や他社から預かった情報の漏洩は、会社存亡の危機となる可能性があります。

一度こちらでテストしてみるのも良いかも。
情報セキュリティ理解度セルフチェックサイト
https://slb.jnsa.org/slbm/login.jsp

お礼

ご回答ありがとうございます。
ウチで持っている情報は大した価値はないという誤った認識を正してもらわないといけないですね。