パスワードを忘れた? アカウント作成
16605 story

米国のホワイトカラーの1/3以上がITポリシーを守っていない 73

ストーリー by yoosee
守られないルールはルールがないよりも得てして有害 部門より

Dosa 曰く、

slashdot.org でも One-Third of Employees Violate Company IT Policies として取り上げられているが、 ISACAの電話調査によると、米国のホワイトカラーの35%は一回以上勤務先のITポリシーを破ったことがあり、15%は業務中にP2Pファイル共有をしたことがあるそうだ。
本邦においても面倒な手続や不自由な規制が増えている割に情報流出等の事故が後を絶たないが、皆さんの職場でのポリシー遵守状況はいかがだろうか。ちなみに、私の職場では(以下規制)

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Anonymous Coward on 2007年11月03日 16時58分 (#1244316)
    わたしの会社はSIベンダーなのですが、ある日突然、「社外への電子メールでの添付ファイルは全面禁止。即日施行。社外との情報のやり取りは手渡しまたは書留郵便で行うこと」となりました。その2週間後、システム的にもフィルタリングが行われ、本当に添付ファイルを送れなくなりました。

    それまでの顧客や協力会社との間のワークフローを一切無視していきなり施行されたので、業務に支障がでまくり、みんなあの手この手を使ってルールの穴をかいくぐる手段を考えるようになりました。

    もちろん、暗号化されてない生のメールが危険なのは当然ですが、何故メールの暗号化の社員への義務づけや、顧客・協力会社への啓蒙活動をしようとせず、いきなり全面禁止なんて策に走ってしまったのか... orz

    実態の業務を無視したルールが、かえってセキュリティ低下させる悪例です。。。
    • Re:ウチの会社の場合 (スコア:5, おもしろおかしい)

      by Tatenon (20311) on 2007年11月03日 17時38分 (#1244329) 日記
      ガチャ。ぴぽぽぽぷぴぺぴぽぷ。
      『どーもいつもお世話になっております。A社の○○と申します。今お電話よろしかったでしょうか?
      メール頂きました。ええ。それがですね~、今わが社では添付ファイル禁止なんですよ。
      ええ。セキュリティがどうのって。最近煩くてですねぇ。
      で、手渡しか書留って事になってるんですが、お急ぎですよねぇ。
      ええ。流石に手渡しも・・・九州じゃねぇ。
      あ~、ではZIPにパスワードかけてWinnyに放流しますので拾っていただけますか?
      ハッシュはメールでお送りしますので。
      ええ。よろしくお願いいたします。
      では、失礼いたします。』
      チン

      # よし。
      ## よしじゃねぇ。
      親コメント
      • by kicchy (4711) on 2007年11月04日 4時25分 (#1244504)
        >あ~、ではZIPにパスワードかけてWinnyに放流しますので拾っていただけますか?
        >ハッシュはメールでお送りしますので。

        こいつを真面目にやるって言うのはどうだろう?
        仕事に必要なファイルは、Winnyのような解放したP2Pではなく
        社内のネットワークに放流して、
        外部に伝えるのはハッシュのみ。

        ファイル入手のためのURLもしくは、アプリはあらかじめ郵送しておく。
        ファイルを取ろうとしたアクセス元は全て記録できるし、
        メールのフィルタリングでは,添付ファイルまで調べる必要はなくハッシュを調べれば良い。

        よくやり取りする取引先だけしか使えないし面倒だよなぁ。

        # 本文中にuuencode,base64禁止!
        親コメント
        • by yasiyasi (5450) on 2007年11月07日 9時09分 (#1246056)
          > # 本文中にuuencode,base64禁止!

          uuencodeやbase64のような一般的な方式では、フィルタリングソフトも対応しているかもしれない。

          そうだ!
          半ば忘れられた存在になったもの(例:ishとかrot13とか)を使えば。

          # ルールの網の目をかいくぐり方に、労力を向けるなっての(笑)
          親コメント
    • by Anonymous Coward on 2007年11月03日 18時01分 (#1244340)
      メール本文の容量制限の範囲内であればishで即解決
      親コメント
    • by Anonymous Coward on 2007年11月03日 19時02分 (#1244362)

      この記事を思い出した。
      システム管理の“ここがヘンだよ”: 無線LAN禁止、VPN禁止、FTP禁止……は管理者の怠慢か [itmedia.co.jp]

      広告系のデザイン・クリエイティブ部門を抱える名古屋市のD社は、外部カメラマンやデザイナー、DTPオペレーターとのデータ授受が日常的に発生する。扱うデータサイズは大きく、1つのファイルが数百Mバイトになることも珍しくない。月間データ送受信量は軽く数Tバイト近くになってしまう。
      (中略)
      「いつFTPサーバを止められるか、分かったもんじゃない」。現場では情報システム部への不信感が広がり、自主防衛への動きが進んでいく。オフィス内に光回線を引き、自前でサーバを立てたり、ファイアウォールがふさいでいないポートを調べ上げ、使われていないノートPCを簡易サーバとして再利用するなど、無法状態と化してしまったのだ。
      親コメント
    • by Anonymous Coward on 2007年11月03日 21時14分 (#1244384)
      弊社の場合、PCはすべてユーザー管理にしております。
      もし、万一情報流出等事故が発生しても、情報システム部に責任はありません。
      そのPCを使っていた社員に責任があります。
      情報システム部の人に何をしたらいいか尋ねると、
      PCの使い方がわからない人は、近所のパソコン教室に通いなさい、とのことです。

      #他社の人から「無法地帯ですか?」と言われちゃったよ。
      親コメント
      • by Anonymous Coward on 2007年11月04日 0時35分 (#1244462)
        ウチの会社もほとんど一緒ですね。
        情報流出した事件はあったけど、全社の情報システム部門には全くお咎めはなかったです。
        流出した部門には当然ですがいろいろありました。

        個人で使うPCはすべてユーザー管理で、入れようと思えばどんなソフトでも入れられます。
        多分、殆どのユーザーが日常的に管理者権限でOSを使っているでしょう。

        でも各部門で自部門にあったルールで運用できますから部門側にとってもメリットはあります。
        PC教育についても部門でやってます。PCの使い方がわからない人への対応を情報システム部門に
        聞くっていうこと自体ありえないです。
        同じようなルールをいくつもの部門で作ってるっていう無駄はすっごく感じます。

        情報システム部門の仕事は物理的なインフラの整備が中心かな。

        そんな情報システム部門が突然全社のルールを決めることがありますけれど、
        だいたいは部門の猛反対にあって数日以内に撤回されます。
        最近は事前調整するようになったのでルールを決める前に却下されることが多いかも。

        #元コメントに「おもしろおかしい」がついてるけど笑っちゃうくらい変な状態なのか…
        #社員数は10万に欠けるくらいです。

        --考えたけどACにしときます。ちなみに僕はの立場はただの1ユーザーです。
        親コメント
    • by JaminaJ (19784) on 2007年11月03日 17時32分 (#1244327) 日記
      >それまでの顧客や協力会社との間のワークフローを一切無視していきなり施行されたので、
      >業務に支障がでまくり、みんなあの手この手を使ってルールの穴をかいくぐる手段を考えるようになりました。

      それは・・・業務システム部署に対してきちんと正当な理由を提示して規制を変更してもらうべきでは?

      いや、そもそも説明しても融通が利かないし、現行規制をかいくぐるぐらい
      せっぱつまってる状況はありがちなので、ほんとに素朴な疑問ですが・・・(^^
      親コメント
      • by Anonymous Coward on 2007年11月03日 19時00分 (#1244361)
        > それは・・・業務システム部署に対してきちんと正当な理由を提示して規制を変更してもらうべきでは?

        業務システム部署って、IT関連以外まで含めるといろんな部署が絡んでいてまず無理。
        うちの会社の場合、
        ・総務部指令:「海外出張時は必ず電子メールで毎日上司に(安否を含めて)状況報告を行うこと」
        ・IT部門指令:「業務に関する情報を含む電子メールを送る場合は、必ず暗号化を使用し・・・」
        ・法務部指令:「各国の法令を遵守し・・・」
        ・その他たくさん・・・
        の規制がありますが、中国の工場に出張したら、ここにあげた最初の3つですでに矛盾していて
        守れないのであった。

        で、うちのえらい人が、それぞれの部門に中国出張の場合の対応方法を問い合わせたら、どこからも
        自分のところで決めたルールを守れ、という以外に返事がなかったそうな。
        問い合わせ時に、「矛盾しているからどうしたらいいの?部門間で調整してもらえませんか?」と質
        問したらしいのだが。

        当然、どれかを無視して運用するしかなくて、万が一にも中国当局に捕まりたくはないので、よほど
        の情報じゃない限り暗号化せず、という運用みたい。よほどの情報の場合は電話(音声)か手渡しの
        ようです。
        親コメント
        • by JaminaJ (19784) on 2007年11月03日 20時50分 (#1244379) 日記
          おっしゃりたいことは理解できます。というかうちの会社もよくあることなので・・・。

          自分が言いたかったことは、#1244368 [srad.jp]の方も書いてらっしゃいますが
          「なにがネックになっているか」「なぜ業務に支障をきたしているか」「本来誰が対処すべきか」を
          明確にしてアピールすべきだということです。
          現場で判断して現行規制外の運用をしなければならなかったとして、
          将来的に情報漏洩など致命的な問題が発生したら、自分たちの責任になるのは(私なら)避けたいです。

          うちの会社の場合、休日のトラフィック制限がきつすぎて過去に対外向けの法務手続きを
          危うくトチりそうになったことがありました。ただ業務システム部門の担当者に言わせると
          休日はどうしてもおさえなきゃいけないの一点張り。で、インフラ担当部門に元研究開発部門出身の
          マネージャがいたので、そこを通して社長と部門長に掛け合って、メールと土日の一部サイトについては
          通信トラフィックの規制を緩和してもらいました。
          法務手続きがアウトだと、最悪会社が傾くのでそれを偉いサンに強調して。

          組織の不整合はどこでもあるので、別にコネを使って解決しろとか極端な言いませんが、
          あとあとのために自分たちの立場をアピールしておくことは、第一手として大事だと思います。
          親コメント
          • Re:ウチの会社の場合 (スコア:2, おもしろおかしい)

            by Anonymous Coward on 2007年11月03日 22時52分 (#1244414)
            > 現場で判断して現行規制外の運用をしなければならなかったとして、
            > 将来的に情報漏洩など致命的な問題が発生したら、自分たちの責任になるのは(私なら)避けたいです。

            規則を守った結果であっても本来の業務が滞って業績悪化したら、情報漏洩で致命的な問題がおきなく
            たってどっか飛ばされます。つまり中間管理層には選択肢はないのです。

            それでも一応文句を、ということで、うちのえらい人が調整をお願いしたけど、それぞれの部門はしらんぷり。
            最後はIT部門のえらい人が「中国に出張しなければいいでしょう!」と真面目な顔で言ったとか言わないとか。

            #自社工場が中国にあるのにそんな阿呆なこというなよ・・
            親コメント
    • by realloc (27431) on 2007年11月03日 18時02分 (#1244341)
      RFC 11491 [chibutsu.org]がデファクトスタンダードになる日も近いですね。
      親コメント
    • by kei100 (5854) on 2007年11月04日 0時07分 (#1244449)
      >実態の業務を無視したルールが、かえってセキュリティ低下させる悪例です。。。
      昔、WPC expoだったかの講演でネットワークストレージ屋さんが同じ事を言ってました。
      実務に必要な現状・実体・要求を理解せずにポリシーを押し付けると野良ストレージが増えて結局酷い事になると。

      # ストレージをメールに置換すればそのままですね。
      ## 次はストレージ郵送も禁止されたりして、みなし音声でファイルを送受信することに?
      親コメント
    • by deleted user (28685) on 2007年11月04日 12時57分 (#1244618)
      あ、同じです。

      >「社外への電子メールでの添付ファイルは全面禁止。

      最近はやってるんですかね。今のところ「社外」と何一つ関係しない仕事なので
      実害がありません。そもそも本文だけで十分。添付する必要が。。。

      #仕事してないわけだ。

      >即日施行。社外との情報のやり取りは手渡しまたは書留郵便で行うこと」

      こっちはありませんでした。「社外」とどうしろというような指示はなし。
      他の部署はどうしてるんだろうなぁ。

      親コメント
    • でも、そんな状況で現場だけで何とかしようとするのも良し悪しだよね…
      みんなで「新ポリシーのためスケジュールに遅延が発生しています」報告をマネージャ経由で上層部に大量送付するとかはしなかったの?
      • by Anonymous Coward on 2007年11月03日 17時50分 (#1244336)
        > みんなで「新ポリシーのためスケジュールに遅延が発生しています」報告をマネージャ経由で上層部に大量送付するとかはしなかったの?

        大抵、IT管理部門(間接業務部門)と事業部門の担当のえらい人は別であることと、えらい人同士が摩擦を嫌う(しかも理解できないことだし)ので、「それとこれとは別問題」とあしらわれるのがオチってもんです。
        親コメント
        • by Anonymous Coward on 2007年11月03日 18時54分 (#1244358)
          元コメントのACです。

          >大抵、IT管理部門(間接業務部門)と事業部門の
          >担当のえらい人は別であることと、えらい人同士が
          >摩擦を嫌う(しかも理解できないことだし)ので、
          >「それとこれとは別問題」とあしらわれるのがオチ
          >ってもんです。

          まさにその通りの状況です。大きな組織なので、本社が決めた通達を覆すには、5階級くらい上のえらい人に直訴しなきゃいけません(ほぼムリ)。

          あと、課長以上くらいの階級になると、いくらルールがおかしいと思ってもなかなか言えないらしい。万が一自分のところで漏洩事故が起きたときに言い訳できなくなるから。たとえその事故が、メールとは無関係のものであっても、「上が決めたことに文句を言うような部署だから、こういうことが起きるんだ」って言われかねないからね。

          本社の管理・企画部門がバカだと、いくら現場ががんばってもどうにもならない、ということが身にしみてわかりました。。。。

          # いつもはIDだけど、今回はさすがにAC
          親コメント
  • by Anonymous Coward on 2007年11月03日 18時33分 (#1244350)
    個人的に米国で比較的情報統制が厳しいと言われる業界にいますが、いままで働いたことのある職場を考えてもやっぱりな、という感じです。

    記事に書かれているような・・・・・・
    ・ダウンロードしたソフトの使用
    ほとんどの人がやってました。規則ではだめって書いてあることが多いようですが守られることはほとんどないようです。
    IM系、Winampなどの音楽プレイヤーが多い。後はGoogle Desktopなんかをインストールしている人もいました。
    会社によっては実効的な効果よりも、何かあったときの責任逃れのために、上記のような規則を持っている場合も多いようです。(つまり、お咎めを食らうのは社員本人。会社は「規則で禁止しているのにそれを破ったから障害が発生した」と体裁を保てる。)

    ・共有ソフト
    実は社内ポリシーで使ってもいいよ、と言っていた会社がありましたが、どっかからあんたのとこから違法ファイルが共有されている、とかいう警告があって禁止になりました。まあ、これは特殊な例ですね。BitTorrentぐらいなら日常的に使用されています。

    ・個人的なメールのチェック
    これは100%行われてますね。買い物なんかもしている人はいますがほとんどお咎めがないのが現状です。ただし、これは裁量労働のため、あまりとやかく言っても仕方がない、ということかも知れません。

    ただ、この記事、「1/3が違反を認めた」となっていますから、正直に答えてない人も多数いそうですから、本当はもっと多いのかも知れません。
  • 残り2/3のうち (スコア:3, すばらしい洞察)

    by watayan (143) on 2007年11月03日 18時59分 (#1244360) ホームページ 日記
    ポリシーを知らないので破ったかどうかわからないという人がどれくらいいるだろうか。
    • by Technobose (6861) on 2007年11月03日 20時29分 (#1244375) 日記
      >ポリシーを知らないので破ったかどうかわからないという人がどれくらいいるだろうか。

      結構、いると思いますよ。
      こういうルールって、みんなに知らしめて、守ってもらって、初めて実効性があがって本来の効果を発揮するんですけど、作っておしまいという人(組織)が多いですね。
      そのためには周知する手間、守らせる手間、破ったら是正する手間がかかります。
      けど、そういう権限を握った人間のすることって、いつのまにかルールを作って、ルールに触れた人間をつるし上げるだけですね。
      はっきりいって、そんなルールって、責任逃れでしかないと思うよ。
      親コメント
      • by Anonymous Coward on 2007年11月03日 21時30分 (#1244387)
        ルール決めるときは、自分の権力が大きくなったような気がして楽しいからね。
        実際に運用するようになると、無視する奴や文句言う奴がでてきて嫌になるんだけど。
        親コメント
  • by Anonymous Coward on 2007年11月03日 15時51分 (#1244302)
    >情報流出等の事故
    情報流出は業務上横領罪を適用してもいいぐらいの犯罪だよ。
    事故とか言ってるから無くならない。
  • なんかさぁ・・・ (スコア:2, おもしろおかしい)

    by Anonymous Coward on 2007年11月03日 16時23分 (#1244310)
    なんだか個人情報保護に関する昨今の行き過ぎた業務規則は、
    中学校の頃の校則のようなレベルの話で笑えます。

    この辺までは校則(社則)を破ってもいいレベル(黙認)とか、
    校内(社内)の風紀を乱すエロ本(エロサイト)は持ってくるな(閲覧するな)とか、
    この辺は見つかったら口うるさい先生(上司)から生活指導(戒告)があるよとか、
    これは内申点(評価)に響くからやめとけとか、
    これは退学(クビ)になるから絶対するなとか、
    問題が起こると、今後進学先(取引先)からの推薦(受注)がなくなるから、お前ら
    修学旅行先(出張先)でもハメ外すなとか、なんか色々当てはまる。(笑

    みなさんその辺の洗礼は受けてきている訳で、ITや一般常識に関する
    リテラシーがあって、やっていいことと悪いこととのリスク管理が出来れば、
    おのずと空気が読めるでしょ?
    • Re:なんかさぁ・・・ (スコア:2, おもしろおかしい)

      by Anonymous Coward on 2007年11月03日 17時09分 (#1244324)
      知識や専門家の知恵よりも、経験のみに裏打ちされたリテラシで
      リスク判断を行う門外漢が多く居たために、
      リスク管理を空気に委ねる前時代的な手法では
      バランスが取れなかったという教訓から「校則レベル」になったのでは。
      親コメント
    • by Anonymous Coward on 2007年11月03日 17時31分 (#1244326)
      うちもこまごまとした取り決めができてますが、どうも取引先がセキュリティ関連の規則を求めてるかららしいです。で、セキュリティのことなんて考えたくないから(?)取引先の「規則一覧」をもらって、原則としてそれをそのままうちの社内規則としてるらしい。
      #社内でその取引先の仕事をしてるのは一部の人間だけなので、彼らを別の部屋とかに
      #隔離してその中で規則を守らせれば良いんじゃない?って言ったら怒られた
      親コメント
    • Re:なんかさぁ・・・ (スコア:2, おもしろおかしい)

      by ksh2ksk4 (11188) on 2007年11月03日 22時35分 (#1244406)
      > なんだか個人情報保護に関する昨今の行き過ぎた業務規則は、
      > 中学校の頃の校則のようなレベルの話で笑えます。

      全くです.
      うちの会社の規則もだんだん校則化してきています.萎えます.

      でも,こういう傾向にあるということは,

      > みなさんその辺の洗礼は受けてきている訳で、ITや一般常識に関する
      > リテラシーがあって、やっていいことと悪いこととのリスク管理が出来れば、
      > おのずと空気が読めるでしょ?

      実は空気を読めない奴らが意外とたくさんいたということでしょうね.
      あと,最近の新人くん達はこの手の「洗礼」を受けていないような気がします.
      どうやら一々言わなきゃ(書いてなきゃ)分からないらしい.
      親コメント
  • by yukichi (12361) on 2007年11月03日 17時46分 (#1244332) ホームページ
    (申し訳ありません。業務ポリシー違反により会社の信用が失われてしまいました。)
  • by Anonymous Coward on 2007年11月03日 15時09分 (#1244291)
    ・そのポリシーが守る必要のあるものなのか、守らなくても問題のないものだったりしなのいか。
    ・ポリシーを守ってもらうための方策は取られているのか。
    というようなことがわからないとなんとも。

    LinuxのディストリビューションCD-ROM Imageをダウンロードするために、P2Pのファイル共有にはお世話になってます。職場でP2P禁止されたら、ftpサイトから落とすことになるんだろうけど。
    #でも、P2P系のシステム開発がやりにくくなるなぁ
    • by Livingdead (18685) on 2007年11月03日 15時11分 (#1244292) ホームページ 日記
      私も職場で必要に応じてBitTorrentを使うことはありますね。
      もちろんある時間帯にあるクライアントから使いますという
      申請を事前に出して許可をとってからですが。
      そうしないとアラートが上がってあとから怒られかねませんし。
      --
      屍体メモ [windy.cx]
      親コメント
      • 特に考えがあるわけでもなくちょっとひっかかっただけですが、
        BitTorrentでダウンロードするということは自動的にアップロードもするわけで、
        会社の帯域を第三者に提供することになりますが
        そのあたりどうとらえるべきなんでしょうかね。気にしなくてもいいのかな。
        • BTのクライアントは受信したものしか送信しないょ?
          親コメント
          • その受信した物を送信する時に会社の帯域を圧迫するけど良いのかなという話。

            # 私が読めてないだけ?
            • Re:BitTorrentは使います (スコア:2, すばらしい洞察)

              by tarosuke (2403) <webmaster@tarosuke.net> on 2007年11月03日 18時36分 (#1244353) 日記
              すまん。読み違えた。
              まーでも、BTはダウンロードの方が圧倒的に「太い」し、気にするほど帯域食うもんでもないと思う。それと社内に需要が多ければ社内にキャッシュがある状態になるのでどうでもいいようなレベルだと思うがなぁ...会社がどう判断するかは別の話だが、もしこれを問題にするようならその会社が対外的にどんな美辞麗句を並べていようともホンネはそんなもん、またそこまで考えてないくらいにはアフォだと判断されるだけだろうな。
              親コメント
            • Re:BitTorrentは使います (スコア:1, すばらしい洞察)

              by Anonymous Coward on 2007年11月03日 16時21分 (#1244309)
              BTはダウンロードに対して応分の帯域を提供すると言う枠組みですから、 会社がBTの使用を許可している時点で帯域の提供に同意している事になるのでは?

              BTの恩恵には預かりたいけど、帯域の提供は嫌だという方が、企業モラルとしてどうかと思いますが。

              親コメント
  • nyやshareみたいな暴露型ウィルスがあるのは、日本が殆どだと聞きましたが。
    社内リソースの問題を別にすれば、それほど危険と言う意識はないのかもしれませんな。
    --
    ____
    #風邪をひきました、脳が故障しています
    #残念ながら仕様です。
  • by Anonymous Coward on 2007年11月03日 16時58分 (#1244317)
    あ、BitTorrentでOSイメージダウンロードですか?
    お疲れさまです。

    え?Skypeで会議の資料送った?
    お疲れさまです。

    いや、P2Pファイル共有使うなっていっても業務の効率性ダウンしますよね。

    # 何か違う・・・
    # にしても、業務中に業務と関係ないP2Pファイル共有って
    # どんだけ暇な職場なんだよ
    # そんな暇もマシンリソースも余ってねえよw
  • by Anonymous Coward on 2007年11月03日 22時19分 (#1244402)
    ・どんなピンチのときもぜったいくじけない
  • それなりに会社を移っていけるなら、ヤバいと思った時点で渡り歩いて行くからやってしまえるんだろうか?
    とか思った。
    --
    fj.jokes出身:
typodupeerror

192.168.0.1は、私が使っている IPアドレスですので勝手に使わないでください --- ある通りすがり

読み込み中...