vol.6：財団デジタル化の要　～情報セキュリティの検討～

公益財団法人ソフトピアジャパン（以下「財団」という。）では、「デジタル化」を推進するにあたり、従来の情報セキュリティ規程などでは対処できないクラウドサービスの利用や、内部の管理体制についても見直しが必要と判断し、情報セキュリティに関する取り組みも併せて進めています。
今回は、財団が実施した情報セキュリティに関する取り組みの一つとして実施した、財団が保有する情報資産の洗い出し（セキュリティアセスメント）の概要や目的、それにより得られた課題、そして今後の対策についてご紹介します。

これまで財団では、BCP（事業継続計画）対策としてテレワーク実証を行うなど、デジタル化を段階的に進めてきました。これまでの取り組み記事をご覧になる際は、下記のリンクからご覧ください。

◆vol.1：デジタル化への第一歩　～財団の業務分析と企業DBプロトタイプ試作調査～◆vol.2：デジタル化の舞台裏 ～職員が語る財団の変革～◆vol.3：企業データベース導入の課題と対策　～課題編～◆R5まとめ：「デジタル化」推進計画　～ 令和5年度のまとめ ～◆vol.4：クラウドPBXで変わるビジネスコミュニケーション　～財団の未来を見据えたクラウドPBX導入～◆vol.5：公益財団法人におけるBCP対策としてのテレワーク実証　～事業継続を見据えた働き方～

企業内のデジタル化の進展に伴い、クラウドサービスや外部デバイス（BYODや可搬型デバイス）を業務で活用する機会が急速に拡大し、同時にサイバー攻撃や情報漏えいといったリスクも増加しています。
IPA（独立行政法人情報処理推進機構）が毎年公表する「“情報セキュリティ10大脅威”」や「“中小企業の情報セキュリティ対策ガイドライン”」でも、内部不正による情報漏えい、リモートワーク等の環境や仕組みを狙った攻撃などに対して、組織における情報管理の重要性が指摘されており、情報セキュリティの強化は企業や団体にとって避けて通れない課題となっています。

※BYOD（Bring Your Own Device）：従業員が自分のスマートフォンやノートPCなどの私物端末を業務に使用すること。

財団がデジタル化を推進するにあたり、既存のセキュリティ関連規程では明確にできていなかった、クラウドサービスの利用の判断基準、承認方法やサービス利用時に注意する点などに関する手順について、見直しが必要と判断しました。対策の見直しには参考資料として、IPA（独立行政法人情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」（以下　「ガイドライン」という。）を活用することとしました。

セキュリティ対策の見直しは、以下の手順で実施しました。
※実施にあたり、職員だけでは現状の分析や把握、対策の内容について見落としや暗黙的（思い込み等）に許容する部分も出てくる可能性も考えられたため、外部の専門家（情報処理安全確保支援士などの有資格者）の支援を得て実施しました。

（１）情報資産の特定
　ガイドラインに基づき、全職員（約30名）を対象に、職員が個別に保有している書類や文書のファイル、所属部署などが共有で使用している情報資産及び業務で利用しているシステム全てについて、利用の方法や保管方法について約2週間にわたって洗い出しを行いました。

（２）リスクの評価
　情報資産の特定（洗い出し）の結果、保有する情報の保存場所や、情報へのアクセス権限の管理、私物端末の使用方法などについて、既存の規則や対策方法に改善の余地があることが判明しました。

　（３）対策の決定
　リスクの評価で改善余地があると判断された項目について、ガイドラインに基づき「情報資産管理」、「物理的対策」、「IT機器管理」の3分野に重点を置いて対策を実施しました。

アセスメントの結果を基に、情報セキュリティ規則を全面的に見直し、新たな規則を策定。
全職員向けに研修を実施し、内容をわかりやすくまとめた「セキュリティハンドブック」も作成しました。

今後も規則やハンドブックの内容を定期的に見直し、技術の進化に対応した安全な環境づくりを進めていきます。生成AIの活用方法やオフィスレイアウトの見直しなど、状況変化にも柔軟に対応し継続的に検討していきます。

今回は、財団が取り組む情報セキュリティ対策の見直しについてまとめました。
この取り組みを進める中で、情報セキュリティ対策は単なる規程の整備にとどまらず、全職員がその内容を理解し、日常業務で実践できることが重要だと再認識できました。
また、情報セキュリティ対策の見直しを進められる際、職場の声を丁寧に聞き取り、業務実態とのセキュリティ対策を実施することによる効率性と安全性のバランスを考慮しながら進めることが必要であることも同様に重要であることがわかりました。
情報セキュリティ強化に関しては、職員研修を通じて情報管理体制の強化を図る必要性や、技術の進歩に柔軟に対応した、安心・安全な環境の構築と継続的な運用強化に努めていきます。