テレワークの話をすると必ず情報セキュリティの話が出る。
情報セキュリティは安全性を確保した状態でどれだけゆるくできるかが肝なのだが、まだ多くの管理者が堅固にするのが正しいと信じている。全部を守ろうとするのは何も守っていないこととほとんど変わらないことに中々気づけないのだ。
テレワークは、オフィスと紙からなるビジネス慣習の制約を緩和して生産性の高いビジネス遂行を実現する活動である。管理者側がオフィスと紙からなるビジネス慣習の常識に照らしてテレワークを推進しようとしてもほとんど成果は得られない。難しいかも知れないが、一度常識を捨てて考え直さないと果実は得られないのだ。
ペーパーレスの達成レベルとテレワークで実施可能なアクティビティは相関関係にあり、必要情報の探索の容易性は生産性に直結する。逆に検索の容易性が高まると、経営上不都合な情報が発掘されてしまうリスクが高まる。桜を見る会の60番というコードのようなケースを想像すればよい。
実際にリモートワークを体験し始めると、ペーパーレスを徹底して、仮にスキャン文書であっても全部がファイルサーバーに入っている状態に達すれば、もしプリントアウトしたら100kgを超えるような文書がInternetさえ繋がっていれば世界中のどこででもアクセス可能になる利便性を体感できる。紙の良さもあるが、文書の修正や引用など、デジタル化されているか否かで生産性には天と地ほどの差が出る。
一方、Internetさえ繋がっていればアクセスできるということは、常に漏洩、改ざんのリスクがあるという事でもある。版管理をやってくれるクラウドサービスを利用すれば、紛失のリスクは小さくできる。しかしながら、お客様から預かった情報など、絶対に漏れたらいけない情報はある。暗号化zipファイルなどにして守る、さらにInternetにおかずにUSBなどにおいて肌身離さず持ち歩くといった選択肢もあるが煩雑だし、むしろ紛失のリスクは大きい。
また、仕事は一人でするものばかりではない。お客様や同じ仕事を共同して行う人とは情報共有が必要となる。プロジェクトのゴールが共有できていなければ成果を出すことはできないし、同時に同じプロジェクトにいても互いに内緒にしておきたいこと、内緒にしなければいけないことはある。例えばお客様のお客様とお客様の間の約束で、情報開示の範囲が決まっている場合には、単純な情報共有などできはしない。
体感として分かってくるのは、機密レベルの明確な定義の重要性である。同時に、機密レベルを上げるものをできるだけ少なくする努力の重要性である。機密レベルの高い情報は、コピーを作らないようにするとか、参照するタイミングで権限者の手を煩わせなければいけないようなプロセスを確立するとか、そういったことをちゃんとやらないといけない。当然、その情報を扱うアクティビティの生産性は落ちる。また、頻繁に参照されるそういった重要情報の権限者は許可を求める割り込みへの対応が必要となり、人としての生産性が落ちる。
昔のオフィスのプロセスで言えば、「課長、A社の過去の取引実績を見る必要があるのでロッカーの鍵を貸してください」とか、「部長、防衛関連物資でA社と取引可能であるか調べていただけませんか」といったケースに当たる。現場で担当する人も面倒だし、管理者にも手がかかる。だから、本当に本当に必要でない限り、機密指定はしなくて済む方が企業の生産性は上がる。
機密指定が厳しすぎると、課長はロッカーの鍵の管理が雑になる。15分おきに誰かが貸してくれと言うようになったら、もう自分の仕事はできないから、そこから持っていってと言うようになる。つまり、機密指定が厳しすぎると逆に管理はザルになるということだ。
もうちょっとフォーマルには、照会伝票のような帳票に申請印と承認印を押すような形態が考えられる。リモートワークであれば、ワークフローシステムがそれに当たる。物理的なはんこを使うよりは柔軟性が高いけれど業務遂行者、管理者の手を煩わせなければならない点は変わらない。
ICT技術は、既にそういった管理にいくつかの解を提供している。
- 暗号化・署名インフラストラクチャ技術（PKI応用）
- ロギング技術
- API技術
- デジタル・フォレンジック技術
エストニアのeIDの応用ソフトにDigidoc4というアプリがある。任意の電子文書に電子署名をおこなったり暗号化を行うソフトだ。このソフトの暗号化機能は、zipのパスワードなどとは異なり、この文書の復号化を行えるeIDはどれどれと指定するタイプのものである。つまり、この文書を開けるのはAさん、Bさん、Cさんだけといった暗号化ができる。チーム内でのパスワードの共有をする必要はない。暗号化・署名インフラストラクチャ技術は、ロッカーの鍵モデルより柔軟で安全性の高いモデルを提供可能である。純技術的にはマイナンバーカードは、この機能を実装できるものなのだが、残念ながら現在の日本の法律ではDigidoc4相当のアプリをマイナンバーをベースに作ることはできない。民間ベンチャーではPlanetway Japan社がPlanetIDでユニバーサルIDの全球普及を狙っているが、現時点では定番の解がないのが残念である。しかし、この技術はまず間違いなく来る。そしてテレワークに確実に資する。
ロギング技術、デジタル・フォレンジック技術は、行った行為をもれなく記録したり検証したりする技術である。ロッカーは鍵を開けた後、どのファイルを見たかを記録してくれないが、デジタルファイルの場合は、そのアクセス記録を記録することが可能になる。特に復号化された記録とか、復号化されたファイルの複製や引用の記録などは重要な意味を持つ。情報の目的外利用がなかったをある程度検証可能になる。情報は何らかのアクティビティを遂行するために参照され、記録されるものだ。従来は紙と扱う人で網をかけていたのが、情報とアクティビティで解釈されるものになる。
APIにはいろいろな側面があるが、情報に直接アクセスせずに結果を得る方法としても応用可能である。例えば、現在は飲酒可能かどうかを生年月日が記載された免許証等でチェックするけれど、「飲酒可能判定（ID）」というAPIがあれば、生年月日を知る必要はない。ついでに言えば、何らかの理由で飲酒を許可してはいけない人をもっと複雑なルールで処理してYes/Noを返すこともできる。企業の情報システムであれば、与信額や見積額の可否をAPI化していれば、与信情報や原価情報を知らずに業務を進めることができる。知らなければ、情報を漏洩させることはできないから、執務者も企業もより安全になる。
ペーパーレス、デジタル化の時代は、紙と金庫の時代とは異なったセキュリティモデルが実現できる。もう一度真剣に棚卸しすると、本当に機密にしなければいけない情報はかなり少ない。また、情報システムの作り方次第で、テレワーカーが機密情報に直接アクセスすることなく業務を遂行できるようにする余地もたくさんある。それをうまくできた企業は、そうでない企業より効率的な業務ができる。
本当に守るものだけを守って、喫茶店であろうと衆人環視の状態でも実施可能なアクティビティが多ければ多いほどスマートな企業と言ってよいだろう。ガチガチの情報セキュリティが必要というような硬直的な発想に立つのは馬鹿げていると思う。蛇足になるが、エストニアのeIDは、国がその実現のハードルを下げるインフラを準備している点で画期的だと思う。