セキュリティへの過剰反応と思考停止

久しぶりに会社に戻って(一週間開発会社に常駐していたため)、
会社で、Webメールが使えなくなることを知りました。
セキュリティ上の問題からということです。

最近のセキュリティへの配慮、対策というのは、進んできていますね。
…というか、行きすぎじゃないかと。

そのうち、
カメラ付き携帯を社内に持ち込まないとか(データセンターか？オフィスは)
監視カメラ導入とか(データセンターか？Ⅱ)
ならないか心配。

厄介なのは、情報共有と、セキュリティって実は相反しているってこと。
他ＰＪでの成果物を参考にして〜というには、厳密なセキュリティ・
ポリシーには違反するんじゃないかと。
しかし、当然SIerに限らず、知識を集積し、それを全体で共有する、
ナレッジマネジメントが「改善」だとか「ＰＤＣＡ」だとかの
前提にある訳で。

いや、セキュリティの重要性は勿論理解しています。
(そして、退屈で面倒なことも)
十分な検討の結果、Webメールを使用することはできないという
結論に達したのでしょう、それはそれ、遵守しなければなりません。

それでも、今後何が心配かというと、
思考停止を起こさないか
ということです。

Ａ「セキュリティにやりすぎはない、出来る限りのことをしなきゃ！」
Ｂ「じゃあ、こんな場合はどうする？」
Ａ「うーん…。じゃあ禁止すればいいじゃん！」

禁止は、一番簡単な対策ですよね。
しかし、それによって、確実に犠牲になることがあるわけですから
そう簡単に採れないはずです。

禁止によるメリット、デメリットを抽出し、それとセキュリティ上の
課題との分析を行う。
その結果を受け、なんらかの工夫を設けるなりしないと、
単に「駄目だから、駄目」というのでは思考停止ですから。
似たことが、開発の現場でもありますよね。

顧客「ここに表示項目が欲しいんだけど…」
開発「いや、無理ですよ。今さら。」
顧客「でも、これが無いと業務が回らないよ」
開発「もう開発は終わりました。どうしようもありません」
顧客「じゃあ、使えないね、このシステム。」

このままごり押しすることは、まあ無いんじゃないでしょうか。

開発「何に必要なんです？」
顧客「これこれこういった確認のために必要なんだよ」
開発「では、その情報は、こちらの画面で確認するようにしては
如何でしょう？業務運用への影響が少ないことを考えれば、
ひとまずこの方法で代替し、次フェーズでの開発に要件として
載せませんか。」

…という感じで。