文書管理と情報セキュリティの関係とは？電子化時代に求められる安全対策
この記事では、文書管理と情報セキュリティの関係を整理し、企業や組織が押さえるべき基本原則と国際基準について分かりやすく解説します。
文書管理と情報セキュリティの関係
ITの進展により、オフィス環境は大きく変化しました。それに伴い、情報管理や文書管理のあり方も劇的に変わっています。従来は紙媒体を中心にした文書管理が主流でしたが、現在では電子媒体を中心とした情報管理へと移行しました。文書の作成から活用、保存、処分まで、ほとんどのプロセスが電子的に行われています。
紙文書であっても、管理や検索にはコンピューターシステムが活用されるのが一般的です。さらに、e-文書法の施行以降、紙文書をスキャナで電子化し、電子文書として管理・活用する動きが加速しました。つまり、文書管理はコンピューターの力を借りる領域が大幅に増えているのです。
コンピューター環境の脆弱性とリスク
しかし、コンピューターの世界は非常に脆弱です。外部からは悪意あるハッカーやウイルスの攻撃があり、内部では人為的な誤操作によるデータ消去や改ざんの危険もあります。紙媒体と異なり、情報のコピーや送信が容易なため、情報漏えいや不正持ち出しといった事故や犯罪が起こりやすく、ひとたび発生すれば被害は甚大です。
ネットワーク化が進んだ現代のコンピューター環境では、障害やリスクの可能性は紙文書と比べものにならないほど大きいといえるでしょう。つまり、文書管理において情報セキュリティの重要性は格段に高まっているのです。
また、伝統的な文書管理の考え方やノウハウがコンピューター情報の安全を守るのに役立つ面も多々あることも、明らかになっています。
情報セキュリティの3要素「CIA」
OECD（経済協力開発機構）が1992年に制定した「情報システムのセキュリティガイドライン」にその目的が次のように記されています。
情報システムのセキュリティの目的は、機密性、完全性、可用性に関する失敗の結果生ずる被害から、情報システムに依拠している人々の利益を保護することである。
- 機密性（Confidentiality）
特定のデータ及び情報が、承認された回数、承認された方法により、権限のある人、組織、過程にのみ開示されること。
- 完全性（Integrity）
特定のデータ及び情報が正確に過不足なく処理され、かつ正確に過不足なく保存されること。
- 可用性（Availability）
特定のデータ及び情報、並びに情報システムが、要求に応じて適時に、アクセス及び利用が可能なこと。
この3要素を維持することが、情報セキュリティの基本になります。
ISO/IEC 27002における「情報セキュリティの3原則」
情報セキュリティの国際標準である ISO/IEC 27002（JIS Q 27002） では、情報セキュリティは次のように記されています。
情報は、他の重要な事業資産と同様に、組織にとって価値ある資産であり、適切に保護する必要がある。事業継続を確実にし、事業損害を最小限にし、投資に対する見返りや事業機会を最大化することを目的として、情報セキュリティは広範囲にわたる脅威から情報を保護する。
情報は、どのような形態のものであろうとも、常に適切に保護されることが望ましい。
ISO/IEC27002（JIS Q 27002）においても、機密性・完全性・可用性を維持するのが情報セキュリティのポイントだとしています。この3つを次のように説明しています。
- 機密性
アクセスを認可された者だけが情報にアクセスできることを確実にすること。
- 完全性
情報及び処理方法が、正確であること及び完全であることを保護すること。
- 可用性
認可された利用者が、必要なときに、情報及び関連する資産にアクセスできることを確実にすること。
この「情報セキュリティの3原則」は、OECDの「ガイドライン」ともほぼ同様の考え方といえるでしょう。
情報リスクとその対策
具体的なセキュリティ対策を検討する際には、情報セキュリティの3要素を軸に情報リスクを整理すると分かりやすくなります。つまり、機密性・完全性・可用性が損なわれるリスクを洗い出すことです。
- 機密性が損なわれるリスク
情報の漏えい、流失、紛失、盗難など
- 完全性が損なわれるリスク
改ざん、毀損など
- 可用性が損なわれるリスク
情報の隠蔽、不適切な保存管理など
これらのリスクから情報をいかにして守るかを考えることが重要です。
まとめ
文書管理と情報セキュリティは、電子化が進む現代において密接な関係にあります。便利さと効率化の裏には、情報漏えいや改ざんといった重大なリスクが潜んでいます。
企業や組織は、機密性・完全性・可用性という情報セキュリティの基本原則を理解し、ISO/IEC27002などの国際基準を参考に、適切な対策を講じることが求められます。
日本レコードマネジメント株式会社では、情報管理コンサルティング事業を展開しており、個人情報保護法やISMS（情報セキュリティマネジメントシステム）の基準に基づいた情報セキュリティ対策をはじめ、組織内の情報資産管理に関するガバナンスの策定・実施をサポートしています。お気軽にご相談ください。
本記事は、当社広報室にて発信しています。
