現場がUSBメモリを手放せないのは、多くの場合、それに代わる安全な手段が用意されていないからです。閉域環境で使える正規のファイル受け渡しの仕組み、認証と暗号化を備えた貸与用媒体、私物の持ち込みを技術的に防ぐ端末設定など、こうした代替手段の整備には投資が必要です。その投資を怠ったまま「USBは危険だから使うな」とルールだけを課せば、現場は業務を回すために例外運用に走り、ルールはやがて形骸化します。
組織が大きくなり、拠点や委託先、私物端末が増えるほど、「どこで、誰が、どんな媒体を使っているか」の把握は難しくなります。事故がなくならないのは個人の不注意ではなく、組織が自らの利用実態を可視化し、統制できていないという構造的な問題にあります。
防衛省・自衛隊には、USBメモリの調達時に安全性を確認し、使用時には「例外なくウイルスチェックを実施する」という規則がありましたが、それは守られていませんでした。小泉防衛大臣も荒井陸上幕僚長も、この規則の不遵守こそが問題だったと明言しています。
つまり、問われているのは高度な新技術で身を固めることではなく、「すでにあるルールを例外なく機能させられるか」です。どれほど技術が進化しても、基本動作の不徹底という弱点は、そのまま残り続けます。
事故の引き金は驚くほど｢基本的で単純なミス｣
何かサイバー被害が発覚すると、報道などでは「高度なサイバー攻撃」といった言葉が躍ります。しかし、実際のインシデント対応の現場で調査を進めると、事故の引き金は驚くほど基本的で単純な運用ミスであることが少なくありません。
現場の社員は「目の前の仕事を終わらせるため」に手近な手段を使っているだけであり、そもそも自分のその行動が「なぜ、どれほど危険なのか」をわかっていません。本人にとっては「ちょっとした作業の工夫」に過ぎず、それが組織全体を揺るがすセキュリティホールになるとは想像も及びません。経営層がその実態を知らないまま「ルール徹底」だけを唱えても、現場の無知と善意による「抜け道」をふさぐことはできないのです。
