(メモ02)「エンドユーザ向けセキュリティ教育＝リテラシー教育」ではない?!

今回、事前公開された資料の4P(今回のお話の定義)に……
---
（リテラシーの内容も含むが）指示・命令に近い性質を持つ
---
……の一文があり、「アレ？」と思われた方もおられるのではないでしょうか？

まぁ、確かに普通は「エンドユーザ向けセキュリティ教育＝リテラシー教育」ですよね。

でも、事「企業・組織の中」においては必ずしもイコールではないんですよ。
と言うのも……

企業・組織内の規定（ローカルルール）に関する事も教育内容に含まれる。

ローカルルールには、リテラシーにそぐわない内容(一般的にはより厳しい方向・限定的な方向になりますが)も含まれる。

ローカルルールは所詮「限定された範囲でのお約束」なので、その組織から外れた場合には流用は殆ど効かない。
……という事から、あのような一文が入る訳です。

この辺は、後で簡単なイメージを付けた方が分かりやすいかも……ちょっと検討します。

例を挙げるなら「ネット上で転がっているフリーウェア等の導入」かなぁ……

リテラシー教育では「ちゃんと素性を確認した上で、At Your Own Riskで導入、利用する事。また定期的にバージョンアップを行う事(セキュリティホール潰しのため)」……辺りが教えられる(はず)。

企業・組織内では、次のパターンが考えられます。

• 勝手に入れるな!!(例外無し)
• 勝手に入れるな!!(例外有り、ルールに従えばOK)
• 特定のモノは入れろ(バージョンアップは勝手にするな、指定されたバージョンを使え)
• 特定のモノは入れろ(バージョンアップは各自で行え)
• リテラシーと全く同じ、各自自己責任で　……etc……

……とまぁ、リテラシーで教えられた内容とは異なるケースもあるヨ、という事を頭の片隅の中に置いて頂くと、資料も読みやすくなるかなぁ……という事で。