当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
目的
安全にITを利用することとは、高価な機器やサービスを導入したり、高度な専門知識を習得したりすることではない。日常的に発生するリスクを正しく理解し、自身の環境に応じて無理なく対策を継続することである。
その第一歩として、安全性・利便性・コストの各要素がトレードオフの関係にあることを認識し、「時間がない」「お金がかかるからできない」といった思考停止を抑えることが必要となる。
このページでは、後続の各種セキュリティ対策や運用ルールを検討する際の前提となる、基本的な考え方を整理する。
安全性・利便性・コストは両立しない
大前提として、IT利用時の「安全性」「利便性」「コスト（金銭・時間・学習コスト）」の3つを同時にすべて最大化することは不可能である。これらは互いに反比例する関係にあり、どれか1つを高めれば別の要素が低下する。
例
- MFA（二段階認証）を導入する場合：安全性は高くなるが、ログイン時の入力手順が増えるため利便性が下がる。
- クラウドストレージを利用する場合：どこからでもデータにアクセスできて便利になるが、毎月の維持費用（コスト）が発生する。
- VPNサービスを導入する場合：外部接続時の安全性は向上するが、接続のための操作や機器管理の手間が増える。
重要なのは、これらの要素のバランスを考慮し「ここまでなら受け入れられる」自分に合った最適な妥協点を探し出すことである。
「やらない理由」は安全性を下げる
セキュリティ対策が現場で実施されない理由として、「お金がかかる」「面倒である」「仕組みがよく分からない」の3点が挙げられることが多い。
しかし、「コストをかけない」「手間を増やさない」「新しい知識を学習しない」という選択は、そのままデータ消失やサイバー攻撃による脅威に対して無防備でいると決断することでもある。
対策しない理由が先に頭に浮かびそうになったら、まずは「対策しない場合にどのようなリスクあるか」を客観的に知ろうとしてみる。
そのリスクの大小を理解した上で「あえてやらずリスクを受け入れる」のか、あるいは「無理のない範囲で部分的にでもやる」のか「可能な限り対策する」のか判断する。
完璧を目指さない
小規模な組織や個人はもちろん、大企業であっても完璧なセキュリティ体制を築くことはできない。
重要なのは、以下の3点を意識することである。
- 自身ができる範囲で確実に対策を続けること
- 業務や生活に支障をきたさない、無理のない運用を選ぶこと
- 運用の過程で課題が見つかったら、少しずつ構成を改善すること
セキュリティ対策は、一時に高度な設定を導入することと同じかそれ以上に、形骸化させずに継続できるかどうかが成否を分ける。
まとめ
以下の前提知識が整理できていれば、当ページの内容は完了とする。
- 安全性を上げるには、コストや手間が伴うこと
- リスクを理解したうえで対策を行わないことも一つの選択であること
- 自分の環境に合ったバランスを考える必要があること
- 完璧ではなく継続できる対策が重要であること
これが、安全にITを利用していくうえでの根底となる。