おはようございます。今日は朝礼で話した、セキュリティと感染症の意外な共通点について残しておきます。

被害にあった会社が、まるで加害者のように叩かれる

最近、ある大きな企業で情報漏洩が起き、利用者へのお詫びとして多額の補填をしたというニュースがありました。とんでもない金額です。それを見ていて、僕はずっと引っかかっていることがありました。

情報を盗まれた会社は、本来は被害者のはずです。悪いのは盗んだ側でしょう。それなのに、世の中の反応はまるで漏らした側が加害者であるかのようで、結局その会社が大きなお金を払って後始末をしている。なんだか気の毒だなと感じました。

コロナの頃の「かかった人が悪い」に似ている

この空気、どこかで見たことがあると思ったら、コロナの頃です。あの頃は、感染した人が悪いかのような風潮がありました。僕はそれをずっとおかしいと思っていました。

風邪もインフルエンザも感染症です。「あいつがかかって出勤したから広まった」と責める空気は、あまり良くないと思うのです。サイバーセキュリティも、まったく同じ構図だと感じています。

「かかるもの」と思って動く

では感染症対策は最後にどこへ落ち着いたかというと、「かかるものだと思って行動する」でした。セキュリティも勉強していくと、同じ結論にたどり着きます。パスワードはいつか漏れるもの、と思って動くのです。

だから僕は、マスク警察ならぬ「2段階認証警察」として、みんなに設定をお願いして回っています。期限を決めて、設定していないアカウントは使えなくする予定です。さらに、もし漏れてしまっても被害が広がらないように、情報を一か所に集めつつも権限のない人は開けないようにしたり、分散させたりもしています。

次はパスキーへ

もし明日、「うちの医院の情報が漏れているらしい」と言われたら、ドキッとしますよね。職場で感染者が出たと聞いた時くらいの緊張感を、普段から持っていないといけないのだと思います。

次の一手はパスキーです。顔認証などを使い、本人が持っているパソコンやスマートフォンからしかログインできないようにする仕組みです。万が一パスワードが漏れても、その人の端末を盗んでロックまで解除しなければ入れません。2段階認証の次はパスキー、そしてセキュリティの研修も、これから進めていきたいと考えています。