10人の会社のセキュリティルール5つ、全部守られています｜「守ってもらう」のではなく「破れなくする」

ルールは5つです

従業員10名ほどの会社で、11年ひとりIT担当をしています。

セキュリティの話を書きます。ただし「やるべきことリスト」ではありません。うちで実際に決めているルールと、それが守られているかどうかの話です。

社内で決めているルールは、この5つです。

#	ルール
1	パスワードはクラウドのツールで管理する
2	不審なメールは開かない。間違って開いたら報告する
3	USBメモリは持ち込み禁止
4	私物の端末は業務に使わない
5	退職するときは、PCを所定の場所に戻す

多くありません。これだけです。

正直に書きます。守られています

「小さい会社のセキュリティルールなんて、どうせ守られていないだろう」と思われるかもしれません。

私もこの記事を書く前、そういう前提で考えていました。「守られない話」を書くつもりでした。

でも、改めて振り返ると——守られています。 5つとも。

これは自慢ではありません。理由があるからです。そして、その理由は「社員の意識が高いから」ではありません。

守られている理由：守らなくても済むようにしてあるから

一番分かりやすい例が、USBメモリです。

ルールは「持ち込み禁止」です。ただ、それだけではありません。

会社のPCは、USBメモリを認識しないように設定してあります。

つまり——ルールを破っても、何も起きません。 挿しても使えないのです。

「持ち込まないでください」と言い続けるのと、「挿しても使えない」のとでは、まったく違います。前者は人の記憶と善意に頼ります。後者は頼りません。

これが、うちのルールが守られている本当の理由です。

守ってもらうのではなく、破れなくする。

5つのルールは、それぞれ同じ考え方で作っています。

5つのルールを、仕組みの側から見る

① パスワードは、覚えなくていいようにした

「パスワードを使い回さないでください」——これは、言うだけでは絶対に守られません。 人は覚えられないものを使い回します。当然です。

だから、覚えなくていい仕組みにしました。パスワード管理のツールを会社で導入し、そこに入れるようにしています。

覚える必要がなければ、使い回す理由もなくなります。ルールを守る努力が要らない状態にしてあります。

② 「開くな」ではなく「開いたら報告しろ」にした

不審なメールのルールは、実は2段構えです。

・不審なメールは開かない
・間違って開いたら、報告する

後半が重要です。

「開くな」だけだと、開いてしまった人は隠します。 怒られるからです。隠されると、私が気づくのは被害が出てからになります。

「間違って開いたら報告」とすることで、開いたこと自体を責めないと宣言しています。報告してくれれば、その時点で対処できます。

人は間違えます。 間違えないルールではなく、間違えたときに被害を小さくするルールにしました。

③ USBは、認識しないようにした

先ほど書いた通りです。ルールと設定をセットにしています。

④ 私物端末は、そもそも会社のものにつながらないようにした

「私物のスマホやPCを業務に使わない」も、言うだけでは守られません。自分のスマホでメールを見るほうが楽だからです。

ここも仕組みで対応しています。詳しい方法は書きませんが、私物端末からは会社のデータに届かないようになっています。

「使わないでください」ではなく、「使えません」です。

⑤ 退職時のPCは、手順にした

「PCを返してください」ではなく、「所定の場所に戻す」という手順にしています。

戻す場所が決まっていれば、迷いません。返却されたかどうかも、その場所を見れば分かります。

退職時の手続きは退職時のITチェックリストに詳しく書きましたが、ここでも「人の判断」を減らす方向で作っています。

一番ヒヤッとしたのは、人の行動でした

なぜ、ここまで仕組みに寄せているのか。

11年で一番ヒヤッとしたのは、機械の故障ではなく、人の行動だったからです。

具体的には書きませんが、悪意はまったくありませんでした。普通の人が、普通に便利なほうを選んだ結果です。

そのとき理解しました。

注意しても、また起きる。 便利なほうを選ぶのは、人として正常だから。

だから、注意する代わりに、便利なほうを塞ぐことにしました。それが今の5つのルールです。

ルールを作るとき、順番を変えました

この経験から、ルールを作る順番を変えています。

以前：ルールを決める → 守ってもらう → 守られない → 注意する
今　：ルールを決める → 「守らなくて済む仕組みはあるか」を先に考える

仕組みで防げるなら、仕組みにします。 人に頼るのは、仕組みで防げないものだけです。

うちの5つのうち、純粋に人に頼っているのは②の「開かない」の部分だけです。そこも「開いたら報告」で受け止めています。

10人だからできること

正直に書くと、この方法は規模が小さいからできている面があります。

• PCの台数が少ないので、設定を1台ずつ確認できる
• 全員の顔が見えるので、ルールの理由を直接説明できる
• 例外を作らずに済む（「役員だけ特別」のような穴がない）

大きな会社では、同じことをやろうとすると承認や調整が必要になります。10人の会社は、決めたらその日にできます。 それは小さい会社の数少ない強みだと思っています。

まとめ

• うちのセキュリティルールは5つ。全部守られています
• 守られているのは、守らなくても済む仕組みにしてあるからです
• 「守ってもらう」のではなく「破れなくする」——これが基本の考え方です
• 「開くな」ではなく「開いたら報告しろ」。人は間違えるので、間違えたあとを設計します
• 一番ヒヤッとしたのは人の行動でした。悪意はなく、便利なほうを選んだだけです
• だから注意する代わりに、便利なほうを塞ぐようにしました

もしあなたの会社で「ルールが守られない」と悩んでいるなら、社員の意識の問題ではないかもしれません。

「守らなくて済む仕組みはないか」——そこから考え直すと、ルールの数はたぶん減ります。 うちは5つで足りています。