PRODUCTS
CONSULTING
セキュリティ・エグゼクティブ・ディレクター 中島浩光
さて、4月の中旬からアメリカの４大スポーツの一つであるNBA(National Basketball Association)のレギュラーシーズンが終わり、東西上位各8チームずつ、合計16チームによるプレーオフがはじまりました。
NBAファンである私としては、プレーオフのプレーのハイライト映像や結果が楽しみなわけです。で、プレーオフはレギュラーシーズンに比べれば、激しい試合になることも多く試合を裁く審判も大変であり、アメリカの放送などを見ていると審判の紹介でプレーオフでの審判をした試合数なんかが紹介されたりします。
セキュリティのコラムでなぜバスケットボールの話をしているか？
まあ、もう少し我慢してください。
ちなみに、私自身は実は日本バスケットボール協会の公認審判の資格を持っていて、小学生の公式試合の審判をすることもあったりします。
で、そのためルールの勉強をするわけですが、基本はFIBA（国際バスケット連盟）が出している公式ルールがあります。これは通常の国際大会や大人の公式試合などはこのルールに従っています。ところが、NBAのルールにはこの国際公式ルールとは異なる部分があったりします。主な違いでいうと、試合時間の長さ、３点シュートのラインの距離などがありますが、他にも細かいところがいくつかあります。これらは、NBAがバスケットボールをエンターテイメントとして観客にとってより魅力的にするために、変更していたりします。
また、小学生を対象にしたミニ・バスケットボール（ミニバス）というのがあり、ミニバスにはミニバス独自の国際公式ルールとは違いがあります。ボールの大きさ、コートの大きさ、ゴールの高さ、試合時間、などなど。これは、子供の体格・体力などに合わせた変更が多かったりします。
また、日本のミニバス・中学生においては、ゾーンディフェンス禁止というルールが日本独自のルールとしてあったりします。これは、日本のバスケットボールの強化を目的としての変更になります。
このように、バスケットのルールといってもいろいろ差異があるのが現状だったりします。
審判はこれらのルールを理解し、実際の試合において試合の進行（開始、中断、終了）、違反・反則行為等のコール（摘発？）、ゲームのコントロール（時間、得点等）等を行うわけです。
その中で、違反・反則行為等のコールは、審判の重要な役割になります。違反・反則行為、例えば、ボールを保持して3歩以上移動すると「トラベリング」という違反行為になり、相手ボールになるのですが、審判がコールしたら違反で、ゲームが止まり、相手ボールで再開です。逆に審判がコールしない限りゲームは継続になります。
まあ、通常はルールに則った判断をします。ところが、試合の状況等によっては違反をしているのに、コールせずに試合を継続させる、ということがあります。例えば、ミニバスで小学校3年生くらいの子供たちで試合をやると、厳密にルール適用するとトラベリングを沢山コールしなくてはならず、ゲームが頻繁に止まり、試合時間もかかり過ぎという状況になり、また、子供によっては楽しく試合ができなくなったりします。そういう場合はあまりにもひどい違反の時のみコールして、それ以外は目をつむって試合を続行することで、試合時間がかかり過ぎるのを防いだり、子供の積極性を重視したりするようなことをしたりします。大人の試合でも、ゲームに影響のない細かい違反と判断した場合などは流したりする場合があります。
このように、バスケットボールにおいては、国際公式ルールはあるものの、それぞれのゲームの位置づけごとに異なったルールが適用され、また、試合の状況毎にルールの運用も変わることがあります。
さて、情報セキュリティにおけるルールの適用と運用を考えてみるとどうでしょうか？
多くの組織では、社内の規程等によりセキュリティ対策として実施しなければいけない事が定められており、社員全員が全業務において遵守する、また、情報の機密度などによって対策が少し異なる、ということが多いかと思います。情報の機密度によって対策が変わる、という点では異なるルールが複数存在するという意味では、バスケットボールと同じかもしれません。しかし、バスケットボールと異なるのはバスケットボールにおいては一つのゲームにおいて、利用者は一つのルールに従えばよいのに対し、情報の機密度等によるルール設定の場合、一つの業務の中で機密度の異なる情報を扱う時に複数のルールを使い分ける必要があるのです。あくまで個人的意見ですが、実組織におけるルールは業務単位や部門単位毎に統一ルールを設定しておくほうが、良いのではないかと思っています。
また、業務がプロジェクト型の場合でプロジェクトによって状況がそれぞれ変わる場合には、一定のルールは作っておくものの、プロジェクト単位でルールの適用を変える、という運用を行えるように、しておくとよいと思うのです。ただし、このような運用を行う場合、バスケットボールでいう「審判」を誰がやるのか？という点が問題になります。
組織の中での「情報セキュリティの審判」ですが、まあ、一般的には「情報セキュリティ管理者」とか「CISO」とか「情報セキュリティ担当」とか言われる人が専任でいて、そういったルール（セキュリティ対策）に詳しい人がいればよいのですが、なかなかそうもいかないのが現状なんですよね・・・・。
さて、長くなったので、「次回へ続く」としたいと思います。
GRCSによるブログ記事です。
