人間の注意力には限りがあるのだから余計な注意喚起はしないほうがいい

失敗学・危険学で有名な畑村洋太郎さんが現在福島原発の事故調査委員会の委員長に就任されました。

畑村委員長の本は何冊か読ませていただいており、中でも「人間の注意力には限界がある」という主張にはいつも頷かされます。

原発や製造業では事故というと物理的な被害を伴う「痛い」事故になるかと思います。一方情報システムで起きる事故というとシステム障害と情報漏洩が多いでしょう。情報漏洩については意図的にもたらされるものとミスとがありますが、個人情報保護法の施行からずいぶんと経ちそれなりの体制が作られてきたことにより現在では「ミス」が主流を占めるようになりました。

そうなると人の目線はついつい「ミス」を減らす方向に向います。しかし個々人が起こすミスそのものはなくせるものではありません。ミスが被害につながらないような仕掛けを作ることが重要となります。

ただその仕掛けをどのようなものにするかはとても難しい問題です。例えばメールのミスで情報漏洩が起きるケースとしては宛先間違いと添付ファイル間違いが2大ミスと思われます。しかしそれがなくともメールを送るに当たって普段からチェックが必要となるでしょう。

• タイトルのチェック
• 書き出しのチェック（●●様、●●課長、などの名前や肩書き、挨拶）
• 用件が網羅されているかのチェック（相手への返事、自分からの依頼事項）
• 長すぎないか、機械的な印象がないかのチェック
• 誤字脱字のチェック
• 宛先やCCに初登場の人間がいる場合、相手方への説明が必要かどうかのチェック

その上でやっと、相手方のメールアドレスに打ち間違いがないかや宛先の範囲が適正化を調べるということになります。

そして添付ファイルが必要な場合は入れ違いが発生しないように添付しなくてはなりません。添付ファイル自体は正しくても自社用の、よくあるのが見積もりのExcelに利益率が見えてしまっているとか、別のお客様用に作成した文言がプロパティに残っている、というのは情報漏洩ではないですが、痛みは強烈ですので避けなければなりません。

これに加え、意図的な情報漏洩を防ぐための機械的な仕掛けが裏で走ると思われます。gmail等のフリーメールへの送信禁止、送信容量の制限、宛先数の制限、時間帯の制限や、添付ファイルの容量制限、添付ファイルの暗号化と別のメールによるパスワード通知、などなど。

これらは毎日やっていれば慣れるものですが、やはり人間ですので一定の割合でミスが発生するものと思われます。しかしそれをカバーすることは非常に難しく、添付ファイルについては日本CADさんのATGatewayであったり、メールアドレスと本文の内容を照合してアラートを出したり、といった仕掛けがあるものの、すべてをカバーしきれるものではありません。

http://www.ncad.co.jp/contents/products/it/ATGateway/

メールのアーキテクチャーとして、一旦社内の誰かに転送して内容を確認し、OKならば送出するということもなかなか難しく、悩ましいものです。

そこで「厳重に注意すべし」といった精神的な要請で解決したくなるのですが、情報漏洩はもちろんメールだけで起きるものではありません。外に行けば携帯電話を落としたり、ノートパソコンを盗難されたり、会社への入館カードごと財布を落としたりと、様々な場面で「厳重な注意」が求められているように思います。

もし上の例で、メールはITの管理部署、携帯電話は総務部、ノートパソコンは自部署、入館カードは警備会社と、別々に管理責任者がいたとしたら、その全員が「最大限の注意を払うこと」などと言ってくる可能性があります。笑えないですね。

それならばメールには↑のような製品を極力入れ、携帯電話はスマートフォンにしてリモートワイプができてかつCACHATTOを前提とした運用にし、ノートパソコンはシンクライアントに、入館カードは生体認証を取り入れた2要素以上の認証に、等の取り組みをしてあげたらいいんじゃないでしょうか。お金はかかるかもしれませんが、その分の社員の「最大限の注意」はおそらくビジネス上の課題を解決するために向けられ、外から買い入れることのできない様々な価値を生み出してくれるものと思います。

（オルタナブロガーが関与する製品を2つも紹介してしまいました）