セキュリティのワーストプラクティス

某社の方々、身に覚えがありませんか（藁）

セキュリティは必要だし今後はもっと重要視されてくることは間違いないけど、やはり世の中ほどほどにした方がいいよね、と実際システムのセキュリティ対策に関わってみると思う。

セキュリティと利便性はおおむね反比例の関係にあるわけで、そのことを忘れて過剰反応してしまうと誰もが不幸な結果になってしまう。セキュリティが心配だから新システム入れられなくて業務が回らないとか、普通なら1時間で終わる作業が本番データにアクセスできないがために一週間かかったりとか、そのコストは決して馬鹿にならない。セキュリティパッチを当てるための手続きで一週間もかかってしまうのであれば、それこそ本末転倒だ。

インターネットでは、不正アクセス禁止法に対する批判意見が多いけれど「行為の善悪に関わらず侵入行為自体を禁止し罰する」という規定は、コストバランスを考えると悪くない仕組みではないだろうか。

会社の中で保管されているデータの中には、漏洩したらしたで世間的な評判としては困るけれど、その会社以外にとってはどうでもいいデータというものが沢山あるわけで、これらのデータに対しても銀行システム並みの鉄壁のセキュリティ対策を施さなければならないとしたら費用がかかりすぎる。場合によってはサービス自体が提供できないレベルまでコストが上がってしまうかもしれない。

カナダでは犯罪が少ないせいか家の鍵をかけないことが多いそうだが、同じように社会の秩序の中に不正アクセスを防止する装置を設けることで、このようなコストを大幅に引き下げることも可能なのではないだろうか。