「エンドユーザ向けセキュリティ教育」は「銀の弾丸」たり得るか？（3/3)

前エントリーの続き。

えーと、最初この原稿を書いていた時から「メールから個人情報が漏れる」ケースを考えていたんですが、書いている傍からこんなインシデントが起きてるし。orz

ゴンゾロッソ再び情報流出、「ナイトオンライン」利用者アドレスをCC送信 - Internet Watch

ダメ過ぎだし。orz ＞ゴンゾロッソ

……話を戻して、「企業が顧客に対してメール(DMやメルマガ等)を打つ」タスクを例に挙げてみると……。
---
（ありがちな手順）
一般的なメールソフトを利用。
送信先のメルアドを「Bcc：」に手入力(コピペ含む)してから手動で送信。

（ありがちなインシデント）
「Bcc:」じゃなくて別の欄（「To:」や「Cc:」、あるいはメール本文でも可）に入力して送信する。
で、個人情報漏えい。orz

（何故起きたのか？）
有体に言えば「作業ミス」。
……でも何で？

前日に飲み明かして、ろくに頭が働いていない状態で作業に臨んだから？

夜の彼女とのデートの事を考えながら作業していたから？

送信予定時間が迫っていて、大慌てで作業していたから？ ...etc...

……でも一番の原因って「一番不確実な『人の手を介する手順』が『脆弱点」になっている」事じゃないかな？

（改善の方向性）
システムなら「脆弱点の解消」なら「修正パッチの適用」「設定変更」が定番。
なら「人の手が絡む部分」は？
……手順自体を見直す事がベター？

例えば……

DM・メルマガ送信専用のメールソフト(or メール送信システム)を導入。

一遍にまとめて送信するから良くないのだから、1人ずつ送信(人手だとまず無理だが、簡単なスクリプトの利用で解決可能だし)。
---
個人的には「教育で対処するだけ」は「精神論」に近いものがあると思っています。
(気合で何とかしろと言われても、無理なモノは無理だし(苦笑)。)

それともう1つ、教育には「致命的な弱点」があります。

遅効性である事。

いくら教育しても「ダメダメな人 orz」が絶対に何人か出てくる事。

そもそも最初から悪さを考えている人には殆ど効果は無い事。

教育だけでなく、様々な方向から解決方向を探る事が出来なくちゃいけませんよねぇ……。