印刷会社のセキュリティは「詳しい人任せ」のままで大丈夫なのか
はじめに
職業柄、脆弱性や不正アクセスのニュースを見るたびに危機感を覚えます。僕は印刷会社に勤めていますが、今でも紙原稿が当たり前に使われている印刷業界では、IT化への関心が薄く、経営層も含めて、どこか他人事のように捉えている会社もあるように思います。
印刷会社の情報システム部門で、十分な体制を築けているところは少ないでしょう。僕が入社したころは、直近数年で担当者がコロコロ変わり、引き継ぎもままならない状態でした。結果として、入社から1年ほどで、僕自身が社内システムに一番精通している…なんて状況になっていました。
そんな中、hontoとコミックシーモアで、顧客情報に関する発表がありました。この2件を受けて、十分な対策が取られないまま、過去の運用を形だけ続けているような印刷会社は、こうした状況に対応していけるのか考えてみました。
全体像を捉えられているか？
DNPは、hontoのメール配信委託先への不正アクセスにより、顧客情報が漏えいした可能性を公表しました。また、NTTソルマーレは、コミックシーモアについて、会員データベースの登録情報319件に加え、システムログ上の情報が最大約420万件流出したと発表しています。
僕が気になったのは、委託先やシステムログも、情報を管理するうえで意識しなければならないという点です。
印刷会社では、入出校のデータ管理用に、自社サーバーを公開している例も珍しくありません。そのサーバーは、PrintSapiensをはじめとする基幹システムや、印刷工場、協力会社のシステムと連動しているかもしれません。
公開サーバー内のデータやアカウントだけでなく、どのシステムと、どのような方法で連携しているのか。そうした全体像を把握しておかないと、情報が漏えいしていることにすら気づけないという事態も起こり得ます。
なんちゃってシステム運用の怖さ
印刷会社の中には、専任の情報システム担当者がおらず、パソコンに詳しい人が通常業務と兼任で管理を引き受けているところもあると思います。あるいは、情シス部門はあっても、担当者が印刷や制作・製造の現場を十分に理解できておらず、シャドーITが蔓延し、実態と乖離した管理台帳を更新し続けているようなケースもあるかもしれません。
こうした体制が、正直かなり怖い。
脆弱性が公表されても、自社への影響を判断する体制がなければ、何を更新すべきか決められません。更新が必要だと判断できたとしても、実施するには時間と権限が必要です。兼任者には当然、他の業務もあります。また、専任の情シス担当者であっても、制作・製造現場の動きを理解していなければ、全社に関わるシステムを止める判断はなかなか難しいはずです。
「システムに詳しい人がいるから大丈夫」と言うのであれば、その人に何を任せていて、どこから先は一人では対応できないのかまで、会社として把握しておく必要があります。
増える対応を、誰が引き受けるのか
脆弱性が見つかるスピードは、以前より上がっているように感じます。AIの急速な進歩に伴い、この流れはしばらく続くでしょう。
どの会社にも、注意喚起を受け取ってから自社への影響を判断し、必要な対応まで進める仕組みが求められます。印刷会社も例外ではありません。入出校システムや製造システムが止まれば、納期や顧客対応にまで影響が広がります。セキュリティ対策を「売上を生まない保守」として後回しにすると、売上を支える業務そのものが止まりかねません。
今一度、社内のネットワークやシステムの構成を見直し、それを管理するための人員配置や組織体制が適切か、考え直した方が良さそうです。
さいごに
大手企業でも、情報漏えいのリスクを完全になくすことはできません。中小企業にとっても、決して他人事ではないはずです。個人的にはもっと危機感を持ってもいいと思います。
管理する対象が増える一方で、それを確認する人も時間も増えなければ、どこかで無理が出ます。セキュリティを「詳しい人」の仕事として任せきりにするのではなく、印刷会社が抱える経営課題として、会社全体でもっと真剣に考えて欲しいものです。
