携帯電話のことならKLab株式会社
日本道路公団の分割・民営化により2005年10月に設立された東日本高速道路株式会社/「NEXCO（ネクスコ）東日本」では、正社員2800人、外部協力社員1200人の計4000人の個人情報を洗い出すためにP-Pointerを全社導入した。その狙いにつき、導入を企画した情報システム部の久住川順一氏、運用を担当するSEの山本敏明氏に詳しく聞いた。
- 東日本高速道路では現在P-Pointerをどのようにお使いですか
全社で4000ライセンスを導入しています。4000ライセンスの内訳は、正社員用の2800ライセンスと、委託先や派遣社員など外部協力社員が1200ライセンスです。
その4000ライセンスは、東日本地域の高速道路の管理・建設事業と同時に、サービスエリア・パーキングエリア事業及び新たな事業を行うため弊社の各拠点に配備されています。拠点は東日本各地に以下のように散在しています。
- 東日本高速道路では、どのような個人情報が蓄積されるのでしょうか。素朴な直感として、高速道路の建設・管理という業態では、それほど個人情報が溜まりそうにも思えないのですが
そのように直感する気持ちはわかります。しかし実は以下のように、意外にシビアな個人情報のリストが蓄積されます。
- 東日本高速道路が、P-Pointerのようなシステムを全社導入して、社員各人のPCに蓄積されている個人情報を洗い出そうと決めた経緯は
P-Pointerを全社に導入すると決めるまで二転三転がありました。概略は以下のような経緯です。
- それぞれの時期につき、順々にご説明いただければ幸いです
はじまりは2005年4月民営化前の時期のセキュリティポリシーの運用開始です。当初は、情報資産の重要度分類を行い、メリハリをつけた管理を行おうと考えていました。そうしたメリハリづけは、分類・整理が行き届いている業務システムのサーバ内のデータに対しては有効でした。しかし各社員個別のクライアントPC内の情報に対しては無効でした。クライアントPCには、ざまざまな情報が玉石混淆で格納されており、どれが玉の情報でどれが石の情報のなのか見分けがつかなかったのです。
見分けがつかないのなら仕方がない。メリハリづけなどあきらめて、一律にフルスペック防御をかけるしかないと、最初はそう思いました。しかし、しばらくして、「やはりだめだな。それでは会社全体の個人情報保護力はかえって低下してしまう」と考え直しました。
- フルスペックの防御をかけると、会社全体の個人情報保護力がかえって下がる…。なぜそう考えたのですか。
実際に情報管理の現場に関わった人ならお分かりいただけると思いますが、会社の個人情報管理力を上げる上で、いちばん大事なことは社員１人１人の「自覚、気づき」です。
社員が「いま自分が開いているこのファイルは大事な個人情報が入っているファイルなのだ」と自ら認識する「自覚」。この自覚を、カタカナで表現すればセキュリティ・リテラシーになります。システム側がフルスペックで情報を保護してしまうと、個々人が情報を峻別する必要がなくなり、必要がなくなるがゆえに判断能力も鈍り、かえって個人情報保護の総合力が下がるおそれがあると考えました。
ウチの社員は悪いことはしないから大丈夫という"性善説"と、人間は悪いことをするから規則でしばらなければダメだという"性悪説"。弊社としては、この両極端の中間である、「人間は、自分がどんな情報を扱っているのか自覚さえすれば、それなりに気をつけるものだ」という中庸ゾーンに解があると考えています。
さて、では「自分の手持ち情報のシビア度（リスク）について、ある程度、個々人に判断させる」という「中庸ゾーン」を良しとするとして、問題は、そのあり方をどうやって仕組み化するかです。すぐに思いつくのは、社員に手持ちの個人情報を申告させて、その申告内容をエクセルにでもまとめることですが、これは現実的とはいえません。
- エクセルによるとりまとめは、具体的に、どう現実的でないのでしょうか
以下の三点によります。
さて、どうしたものかなと思いあぐねていた頃、世の中にはP-Pointerという個人情報を見分けて集めて一覧を作るソフトがあると知り、デモを見てみることにしました。
- P-Pointerをはじめて見たときの第一印象は？
正直言って、「機能もインターフェースもすこしシンプルすぎないかな。個人情報を見つける。え、それだけ？」という印象を持ちました。
しかし、その印象を持った後で、いま自分がかかえている課題についてもう一度考え直してみたところ、「ちょっと待てよ、今の課題は、社員のPC一台一台の個人情報の保有状況を洗い出して、それを社員ひとりひとりに自覚させることなのだから、あ、そうか、ならP-Pointerのこの機能で十分じゃないか。インターフェースが単純でかえって良いではないか。単純だからみんなに使ってもらえるのだから」と閃きました。
その後、各種製品の比較検討も行いましたが、P-Pointerがいちばん今の課題にフィットしていたので、導入を決定しました。2006年4月のことです。
- まず最初にパイロット導入を行いました。その時の社内の反応は
「個人情報が見つかる。それは分かった。で、次は？」という反応でした。我々の第一印象と同じです。そこで「次は？」の声に応えるために、本導入に際し、社内のPDCAサイクルにP-Pointerを組み入れる工夫をしました。大枠のコンセプトは以下の通りです。
- P-Pointerを社内の個人情報保護の社内のPDCAに具体的にどう組み込んだのですか
以下の通りです。
- そうして実際にPDCAサイクルを回してみての気づきなどあればお聞かせください
やはり社員１人１人の情報の取扱いに対する 「自覚」が重要だと改めて思います。特に弊社の場合、異動が多いので、なおさらです。
- なぜ異動が多いと個人情報に関する自覚が重要になるのですか
弊社の場合、例えて言うと営業部だった人が人事部に異動したりすることもあります。その時に、職務権限上、まったく関係ない以前の部署の情報をずっと持ち続けていたりすると大変です。紙の情報であれば、異動に伴う書類整理の時に捨てたりしますが、パソコン内の情報は、そっくり持って行ってしまう。そうして、以前の部署の情報がずっと残り続けることがあります。そういう危うい状況がP-Pointerによるチェックを通じて、あらためて明らかになり是正することができます。
- やはり気づきが重要であると
はい、あらためてそう思います。自分がシビアな個人情報を持っていると『気づかせる』こと。これだけは、システムで自動化できません。自分の顔が汚れていても、自分では気づかない。鏡を見せるしかない。P-Pointerは、その鏡の役目です。
- 今回、東日本高速道路情報システム部ではレポート機能まわりに作り込みを施したと聞き及んでいます。どのような作り込みですか
以下のようなコンセプトと仕様の作り込みです。
これは、課長には普段使い慣れたエクセルのbookを見てもらうのが操作性にも優れ良いとの思いから生まれました。以下のようなものです。
- この仕組みが他社にて適用できる場合もありそうですね
はい、今回つくりこんだシステムと、PDCAサイクルを回すノウハウなどは、われわれと同じような状況にある企業や団体に、広くお役に立てると思います。
- そのシステム、ノウハウは、特にどのような企業や団体に向いていますか
どんな企業、団体でもある程度使えると思いますが、特に効果的なのは、私たちと同じく異動の多い職場、だと思います。
- 今後のP-Pointerへの期待をお聞かせください
今回、P-Pointerを全社導入することで、セキュリティのPDCAサイクルを、性善説にも性悪説にも偏らない形で健全な「中庸ゾーン」で回せるようになりました。今後も優れた技術とサービスを継続提供いただき、NEXCO東日本のセキュリティ体制を下支えしてください。期待しています。
今日は貴重なお話を有り難うございました。
