#忘れるためのニュースメモ

情報セキュリティはCSRである − ＠IT情報マネジメント
　ひとたび事故前提という考え方を受け入れるとすると、もはや自社内だけでしっかりやればよいとはいっていられなくなる。事故が起きることを受け入れるということは、どのような事件･事故が起きかねないことを許容するのか、その事故が企業の内外にどのような影響を及ぼし得るのかなどを考えなくてはならない。安全が前提と考えた時代でも事故はあったのであり、そんなに大きな考え方の変化ではないと思う向きもあるかもしれないが、実はこれは大変に大きな、基本スタンスの変更なのである。
　予防策とともに、事故が起きることを前提として、被害を最小化、局限化するという方針を立てることになる。するとそれらの結果が顧客や取引先にどの程度の影響を与えることになるのか、対策のレベルが妥当であるのかなどを、顧客や取引先などの利害関係者に納得が得られる形で説明できなければならなくなる。いい方を変えると、リスクに応じた対策を計画し実施するプロセスに、合理性が求められることになる。企業の社会的存在としての説明責任が、情報セキュリティの面においても明確に求められる理由がここにある。
　企業が情報セキュリティに取り組む際の基本姿勢を、従来の安全を前提とした、社内に閉じた考え方から、事故を前提としたリスク対応の考え方に大きく切り替えていくことが求められている。これは必然的に、企業の情報セキュリティの確保が社会的責任でもあるという側面を強調することにもつながる。