導入事例 — 東日本高速道路株式会社(NEXCO東日本)様

セキュリティで最も重要な社員の自覚力を養う

東日本高速道路株式会社(NEXCO東日本)様

情報システム部

日本道路公団の分割・民営化により2005年10月に設立された東日本高速道路株式会社/「NEXCO(ネクスコ)東日本」では、正社員2800人、外部協力社員1200人の計4000人の個人情報を洗い出すためにP-Pointerを全社導入した。その狙いにつき、導入を企画した情報システム部の久住川氏、運用を担当するSEの山本氏に詳しく聞いた。

東日本高速道路でのP-Pointerの活用状況

東日本高速道路では現在P-Pointerをどのようにお使いですか

全社で4000ライセンスを導入しています。4000ライセンスの内訳は、正社員用の2800ライセンスと、委託先や派遣社員など外部協力社員が1200ライセンスです。

その4000ライセンスは、東日本地域の高速道路の管理・建設事業と同時に、サービスエリア・パーキングエリア事業及び新たな事業を行うため弊社の各拠点に配備されています。拠点は東日本各地に以下のように散在しています。

  • 本社(東京)
    約450人が勤務
  • 北海道、東北、関東、新潟に支社
    各支社に約150~500人が勤務
  • 主要インターチェンジ横の管理事務所
    各事務所に約30~80人が勤務
  • 高速道路建設の際の工事事務所
    事務所1カ所あたり約30~80人が勤務

nexco_pic_02

東日本高速道路にはどのような個人情報が蓄積されるか

東日本高速道路では、どのような個人情報が蓄積されるのでしょうか。素朴な直感として、高速道路の建設・管理という業態では、それほど個人情報が溜まりそうにも思えないのですが。

そのように直感する気持ちはわかります。しかし実は以下のように、意外にシビアな個人情報のリストが蓄積されます。

  1. 道路建設の際の用地買収に伴い発生する、土地所有者などの個人情報
  2. ETC利用者の個人情報
  3. 高速道路の大口多頻度割引を利用しているお客様の個人情報

社員各人のPCに蓄積されている個人情報を洗い出そうと決めた、その経緯は

東日本高速道路が、P-Pointerのようなシステムを全社導入して、社員各人のPCに蓄積されている個人情報を洗い出そうと決めた経緯は。

P-Pointerを全社に導入すると決めるまで二転三転がありました。概略は以下のような経緯です

  1. 2005年4月民営化を控え、セキュリティポリシーの運用を開始
  2. 当初は4000人のPCの中の情報全てを守るべきだと考えた
  3. その後、いや、セキュリティで本当に重要なのは社員の自覚だと考え直した
  4. 良い運用方法を見つけあぐねていた
  5. P-Pointerを初めて知る。第一印象は、「このソフト、単純すぎないか」
  6. 原点に戻り、「いや、この単純さこそ、そもそもの目的に合致している。単純な方がいいじゃないか?」と考え直し、競合製品と比較した上でP-Pointerを採用
  7. P-Pointerを、社内セキュリティポリシーのPDCAサイクルに合わせて活用

P-Pointerを全社に導入すると決めるまで二転三転がありました。概略は以下のような経緯です

  1. 2005年4月民営化を控え、セキュリティポリシーの運用を開始
  2. 当初は4000人のPCの中の情報全てを守るべきだと考えた
  3. その後、いや、セキュリティで本当に重要なのは社員の自覚だと考え直した
  4. 良い運用方法を見つけあぐねていた
  5. P-Pointerを初めて知る。第一印象は、「このソフト、単純すぎないか」
  6. 原点に戻り、「いや、この単純さこそ、そもそもの目的に合致している。単純な方がいいじゃないか?」と考え直し、競合製品と比較した上でP-Pointerを採用
  7. P-Pointerを、社内セキュリティポリシーのPDCAサイクルに合わせて活用

フルスペック防御は、かえって社員の「自覚力」を削ぐ

それぞれの時期につき、順々にご説明いただければ幸いです。

はじまりは2005年4月民営化前の時期のセキュリティポリシーの運用開始です。当初は、情報資産の重要度分類を行い、メリハリをつけた管理を行お うと考えていました。そうしたメリハリづけは、分類・整理が行き届いている業務システムのサーバ内のデータに対しては有効でした。しかし各社員個別のクラ イアントPC内の情報に対しては無効でした。クライアントPCには、ざまざまな情報が玉石混淆で格納されており、どれが玉の情報でどれが石の情報のなのか 見分けがつかなかったのです。

見分けがつかないのなら仕方がない。メリハリづけなどあきらめて、一律にフルスペック防御をかけるしかないと、最初はそう思いました。しかし、しばらくして、「やはりだめだな。それでは会社全体の個人情報保護力はかえって低下してしまう」と考え直しました。

 

フルスペックの防御をかけると、会社全体の個人情報保護力がかえって下がる…。なぜそう考えたのですか。

実際に情報管理の現場に関わった人ならお分かりいただけると思いますが、会社の個人情報管理力を上げる上で、いちばん大事なことは社員1人1人の「自覚、気づき」です。

社員が「いま自分が開いているこのファイルは大事な個人情報が入っているファイルなのだ」と自ら認識する「自覚」。この自覚を、カタカナで表現 すればセキュリティ・リテラシーになります。システム側がフルスペックで情報を保護してしまうと、個々人が情報を峻別する必要がなくなり、必要がなくなる がゆえに判断能力も鈍り、かえって個人情報保護の総合力が下がるおそれがあると考えました。

ウチの社員は悪いことはしないから大丈夫という”性善説”と、人間は悪いことをするから規則でしばらなければダメだという”性悪説”。弊社とし ては、この両極端の中間である、「人間は、自分がどんな情報を扱っているのか自覚さえすれば、それなりに気をつけるものだ」という中庸ゾーンに解があると考えています。

エクセルでの申告ベースの集計は現実的ではない

さて、では「自分の手持ち情報のシビア度(リスク)について、ある程度、個々人に判断させる」という「中庸ゾーン」を良しとするとして、問題は、そのあり方をどうやって仕組み化するかです。すぐに思いつくのは、社員に手持ちの個人情報を申告させて、その申告内容をエクセルにでもまとめることですが、これは現実的とはいえません。

エクセルによるとりまとめは、具体的に、どう現実的でないのでしょうか。

以下の三点によります。

  1. 社員が自分が持っている個人情報を多大な労力を払って申告してきたとしても、それがすべてをカバーしているとは限らない。抜け・モレがあるかもしれない。
  2. その時、完全に情報を集められたとしても、翌日、翌月になれば、各社員のPCには、また新たな個人情報が加わる。
  3. 全国4000人分の個人情報簿をExcelで管理するのは非現実的。かりに苦労して完璧なExcelができたとして、それをどう使う?

さて、どうしたものかなと思いあぐねていた頃、世の中にはP-Pointerという個人情報を見分けて集めて一覧を作るソフトがあると知り、デモを見てみることにしました。

 

nexco_pic_01

P-Pointerへの第一印象

P-Pointerをはじめて見たときの第一印象は?

正直言って、「機能もインターフェースもすこしシンプルすぎないかな。個人情報を見つける。え、それだけ?」という印象を持ちました。

しかし、その印象を持った後で、いま自分がかかえている課題についてもう一度考え直してみたところ、「ちょっと待てよ、今の課題は、社員のPC 一台一台の個人情報の保有状況を洗い出して、それを社員ひとりひとりに自覚させることなのだから、あ、そうか、ならP-Pointerのこの機能で十分 じゃないか。インターフェースが単純でかえって良いではないか。単純だからみんなに使ってもらえるのだから」と閃きました。

その後、各種製品の比較検討も行いましたが、P-Pointerがいちばん今の課題にフィットしていたので、導入を決定しました。2006年4月のことです。

社内PDCAサイクルにP-Pointerをどう組み込んでいるか

まず最初にパイロット導入を行いました。その時の社内の反応は

「個人情報が見つかる。それは分かった。で、次は?」という反応でした。我々の第一印象と同じです。そこで「次は?」の声に応えるために、本導入に際し、社内のPDCAサイクルにP-Pointerを組み入れる工夫をしました。大枠のコンセプトは以下の通りです。

 

  • 情報の管理責任者は課長である。
  • 課長には情報管理の責任だけでなく、情報をコントロールできる「能力、ツール」も提供するべきだ。
  • 部内の個人情報リストを課長が把握して、「こんな大事な情報を不用意に持っていて大丈夫ですか」と部下にフィードバックできるような仕組みを作ろう。

 

P-Pointerを社内の個人情報保護の社内のPDCAに具体的にどう組み込んだのですか。

以下の通りです。

  • P: セキュリティポリシーを制定
    (ノーツなどの掲示板に掲示)
  • D: ポリシーを運用、実行
    (個々人が自立して行う)
  • C: ポリシーを確認
    (P-Pointerでチェック)
  • A :是正
    (課長は部下に適正な情報の取扱いを求める。部下はそれを受けて情報を整理し適正な管理に努める)

実際にPDCAサイクルを回してみての気づき

そうして実際にPDCAサイクルを回してみての気づきなどあればお聞かせください。

やはり社員1人1人の情報の取扱いに対する 「自覚」が重要だと改めて思います。特に弊社の場合、異動が多いので、なおさらです。

 

なぜ異動が多いと個人情報に関する自覚が重要になるのですか。

弊社の場合、例えて言うと営業部だった人が人事部に異動したりすることもあります。その時に、職務権限上、まったく関係ない以前の部署の情報をずっと持ち 続けていたりすると大変です。紙の情報であれば、異動に伴う書類整理の時に捨てたりしますが、パソコン内の情報は、そっくり持って行ってしまう。そうし て、以前の部署の情報がずっと残り続けることがあります。そういう危うい状況がP-Pointerによるチェックを通じて、あらためて明らかになり是正することができます。

 

やはり気づきが重要であると

はい、あらためてそう思います。自分がシビアな個人情報を持っていると『気づかせる』こと。これだけは、システムで自動化できません。自分の顔が汚れていても、自分では気づかない。鏡を見せるしかない。P-Pointerは、その鏡の役目です。

レポート機能まわりに東日本高速道路独自の作り込みを施す

今回、東日本高速道路情報システム部ではレポート機能まわりに作り込みを施したと聞き及んでいます。どのような作り込みですか。

以下のようなコンセプトと仕様の作り込みです。

  1. あるPCでP-Pointerを使用した場合、レポートにはそのPCの個人情報保有状況だけが記載される。社員各人が自分のPCの状況を知るだけならそれで十分。
  2. しかし、課長が課員全員の状況を見ようとする時には、P-Pointerの管理コンソールを使わなければならない。
  3. 課長には、なじみのあるエクセル形式で、book1つにまとめてレポートを見てもらいたい。
  4. そこでそういうレポートシステムを作った。

これは、課長には普段使い慣れたエクセルのbookを見てもらうのが操作性にも優れ良いとの思いから生まれました。以下のようなものです。

 

nexco_pic_03

サンプルレポート(エクセル形式)

nexco_pic_04

運用概念図(PDF)

この仕組みが他社にて適用できる場合もありそうですね。

はい、今回つくりこんだシステムと、PDCAサイクルを回すノウハウなどは、われわれと同じような状況にある企業や団体に、広くお役に立てると思います。

 

そのシステム、ノウハウは、特にどのような企業や団体に向いていますか。

どんな企業、団体でもある程度使えると思いますが、特に効果的なのは、私たちと同じく異動の多い職場、だと思います。

今後のP-Pointerへの期待

今後のP-Pointerへの期待をお聞かせください。

今回、P-Pointerを全社導入することで、セキュリティのPDCAサイクルを、性善説にも性悪説にも偏らない形で健全な「中庸ゾーン」で回せるよう になりました。今後も優れた技術とサービスを継続提供いただき、NEXCO東日本のセキュリティ体制を下支えしてください。期待しています。

今日は貴重なお話を有り難うございました。

導入事例 – 東日本高速道路株式会社 [PDF: 1,550KB]

ページの先頭へ