以下の話はセキュリティ教育のノウハウではありませんので、あしからず。
大企業や大病院ならどうなのか、それはわからないのですが、私の働く職場（地方の中小病院）における情報セキュリティへの意識はお世辞にも高いとはいえません。そもそもパソコンのスキルにしたって疑問符がつきます。ブラインドタッチすら覚束ない（「タッチ」じゃなくて「アタック」と呼べるほどの激しいキー打ちもチラホラ）とかいうレベルであったり、ショートカットキーを使う人などというのは少数派だと思います。
日常的にパソコンを使うわけではない職種の方々は、ある程度仕方がないのでしょうけど、それでも、役職者ともなれば、パソコンを利用する機会は決して少なくないし、そこに無駄な時間を使わないためには、それなりのスキルを身に付けてもらいたいものです。
それはさておき、そういう職場環境の中で、データベースにログインするための「アカウント」や「パスワード」を浸透させるのは容易ではありません。
「アカウント」や「パスワード」が決められない。
当初から、私の予定としては、データベース利用に当たって、
- 利用者一人一人にアカウント、パスワードを設定する。
- パスワードはアルファベットと数字の組み合わせ6文字以上。
と決めてみました。
しかし、実際のところ、こういったものに慣れていない（と思われる）人が少なくありません。
そういった方々にとっては、これは実に面倒くさい、煩わしいものだと思われ、「パスワードは『12345』じゃ駄目ですか？」なんて話になってしまったりします。それに対しては、「『12345』でも構いませんが、それによって情報が漏洩した場合を想像してください」と答えて自覚を促してはみたものの、やはり心配になり、迷った末に、パスワードを一度私に申告してもらい、それを私が登録するということにしました。
それでも、「アカウント＋パスワード6文字なんて憶えられない」という方もいたりで、結局、「まだ導入初期段階でもあり、慣れてくるまでは仕方がない」と考え、4文字でも許可してしまったりしました。
ただし、それまで院内で パスワードといえば「ウインドウズ起動時のみ」 だった頃に比べれば、ずいぶんマシだろう、と考えたのです。
現在でも、職員がパスワードを勝手に変更できないように設定しています。
お願いだから貼らないで。
アカウント、パスワードが憶えられないのは仕方がない、それならば、しっかりメモして厳重に保管してください、と、現実的な方向に切り替えました。そうしないとシステムが機能しません。それから、「忘れても気にしないでください、何度でもアカウントは発行しますから」とずいぶん丁寧な対応も心がけました。
でも、やっぱりいました。メモをパソコンのすぐそばに貼り付けている方々が。ああ。
それでも考えたのです。
１〜２年前まで、何らパスワードのかかっていないWordやExcelファイルが、様々な場所に散乱していたことを思えば、FileMakerに集約されている現在は、格段の進歩ではないか、と。
そして、「憶えたら剥がしてくださいね。」と優しく微笑むことにしたのです。
ああ、やっぱり部署内でアカウントを共有
個人個人にアカウントを発行する理由、メリットはいくつかあります。
- 退職者等が出ても、一つのアカウントを抹消するだけで対応できる。
- アクセスログを取ることで、不正利用を見分けやすい。
- 個々のアカウントによって、さまざまなアクセス権限を付与できる。
などだと思います。
しかし、私のこの構想をあざ笑うかのように、とある部署では、「み〜んなで一つのアカウントだけを使いましょう」などという勝手な運用がされているようです。しかも、その部署の役職者のアカウント。ああ、役職者でも、このリテラシー。。。
いや、これに関しては、役職者だからリテラシーが高いなどという保障なんてどこにもないし、私よりも年齢が上の方々は、私以上にIT環境には乗り遅れた世代（就職した後にパソコンがやってきた）であり、その感覚のまま、「難しいから、煩わしいから」という理由で部署をミスリードというのは十分想像できた話でもあるのです。
と、年代を理由に考察してみたものの、２０歳代の方が務める部署でもアカウントの共有が行われていたりしました。年代というキーワードも、あまり参考にはならないらしい。当たり前ですが。
もっと初めから厳しい規約で縛る必要があったかもしれないし、また、要するに、私の導入手法にも問題があったのです。
それでも、考えてもみれば、メモを貼るよりも、まだマシではありませんか。（泣）
様々なアクセス権限を付与するという構想は頓挫せざるをえませんが。
いくら報道で情報漏えいのニュースが流れようとも、それによって全員の危機意識が高まる、などというのは妄想かもしれません。
少なくとも、そのような妄想に立脚してシステムを構築すべきではないのでしょう。
これが田舎の中小規模の職場の現実だと思っています。世間一般の職場では、いかがなものなのでしょうか。
私はこれからも、山や川がそこにあるように、それをそのままとして受け入れて、職場全体を、なだめ、すかし、おだてて、現状の職場環境に即した対応をしていかなければ、と思っています。
お金をかけて、システムやソフトを導入すれば、かえって簡単なのかもしれませんが。
幸い、うちの職場には、情報を職場外に持ち出してしまうような方はいないようです。いわば、現在は職員の良心によって漏洩が防がれている、という状態です。
それは確かに最終的な理想形態なのかもしれません。
