それってセキュリティー？それとも、セキュリティー風味の無駄な動き？

投稿日 2018年3月2日
更新日 2020年5月19日
著者池上ジョナサン
カテゴリー情報セキュリティ

株式会社ルシダスの代表取締役・マーケティングロックスターにして、前世（!?）はセキュリティーエンジニアだった池上です！（でも天職は料理人だと頑なに信じてます。w）

実は日頃から、「無駄なこと」「惰性でやっていること」が許せない！…… とまでは言わないまでも、すごく気になることが多い私。

というのも、１日に仕事できる時間は限られているし、その中で成果も出さないといけないし、当然、コンプライアンスを守ることや、お客様のデータを安全に扱うことなど、求められるハードルは決して低くないことを考えると、無駄や惰性はどんどん排除しなければいけないからです。

どちらかと言えば、経営者としての感覚でしょうか。

とは言え、社長が「経営目線で考えてほしい！」と言うときって、実はこういうことが気になってるんですよね。

「当たり前」が、実は大いなるムダ!!

さて、そんな「無駄」や「惰性」の筆頭に来るのは憎きFAXだったりするわけですが、他にも「認印リレー」とか色々あったりします。

そんな中でも、単に「無駄だから」というだけじゃない理由で気になって気になって、ブログに書いちゃうほど気になるのは……時々見かける「メールでのパスワードのやりとり」です。

アレです。
パスワード保護をしたZipファイルをメールで送って、続けてメールでパスワードを送ってくるアレです。

背景はわかってます。
情報を保護し、安全性を守る。
たいていはプライバシーマークに絡んで、監査に備えてコンサルタントから言われて実践しているケースが多いのです。

だがしかし、声を大にして言いたい。
100%意味がない、どころか、害悪です。

「無駄」なうちは、まだマシなんです

考えてみてください。

件のZipファイルを傍受されたとしたら、パスワードも揃って傍受されてます。
ZipファイルのあるPCにアクセスできるなら、パスワードの入ったメールもまずまずアクセスできてるはずです。
いったんメールで受信したパスワードを使ってZipファイルを展開した後は、ほとんどの場合、元のZipファイルは捨てられて中身だけがローカルに保存されます。
そうすると、「メールで受信したZipファイル、単体でなら安全だろ」なんていう議論は、正直言って机上の空論なんです。

つまり、同じチャンネルを通してデータとパスワードを平文（＝非暗号）でやりとりしている時点で、まるで意味がないんです。

でも、「意味がない」だけではなく「害悪だ」と思うのは、それがセキュリティーの本質をうやむやにしてしまうからなんです。

「これをやっておけば安全である」という「惰性」でのみ担保される安全策というのは、いざとなればすぐに崩されてしまうのです。