新型インフルエンザと情報セキュリティ

先週、米国でCSI SXに参加しながら、現地で風邪をひき、新型インフルエンザではないかと不安になって、ホテルの部屋にこもりながら、あれこれと考えたことがあります。

リアルでの新型インフルエンザと、サイバースペースでのマルウエア流行や情報漏洩の頻発など、いずれも人がからむことで、同じような状況が生じる局面が多いように思います。たとえば、「未知の脅威」であるということへの不安感からくる恐怖は、人々の過剰反応を引き出しがちですが、これも、たとえばマルウエアの大流行などの場合に、ちょっとＰＣが不安定になっただけで疑心暗鬼になってしまい、ヘルプデスクに電話が殺到するという状況が発生するというような形でよく見られます。特に、その脅威の詳細や、正しい対処法がきちんと伝達されないと、不安感が増大され、流言飛語や誤った認識による対応などが、さらに混乱を増大させることになります。たとえば、Winnyによる情報漏えい事故が頻発していたころ、よく受けた質問に、「最近、ＰＣの調子が悪いのだけど、Winnyに感染したんじゃないかと不安」というものがあります。これも、Ｗｉｎｎｙとは何か、ということや、情報漏えい事故がどうやって起きるのかという知識の不足からくるものです。

セキュリティ上の脅威についての関心を高めるような活動を行う際、とくに差し迫った脅威の場合は、その反応を考えながら慎重に進める必要がありそうです。まさに、今回の新型インフルエンザにおいて、ＷＨＯなどが発表に非常に気を遣っていたように、脅威を強調しすぎれば過剰反応となり、逆に軽く表現すれば、過度の安心感を与えてしまって必要な対応が十分に行われないというようなことを念頭に、かなり微妙なかじ取りが必要になりそうです。

これまで、我々（情報）セキュリティ屋は、ともすれば「脅し」を武器にしてきました。それは、「脅威」への一般認識がきわめて低かったころに出来上がった形です。しかし、現在、サイバースペースの脅威は徐々に、ビジネスを真に脅かす脅威として認識されつつあり、「脅し」が効きすぎるケースが見られるようになっています。「脅し」によって過度の防御をかためたとして、それで問題を回避できればそれでいいじゃないか、という考えは安易です。過度の防御は、それ自体に時間やコストがかかるだけではなく、生産性の低下などビジネス上の問題も引き起こし、無視できないマイナス効果をもたらすからです。「脅し」の効果はだんだん減少していき、最後にはほとんどゼロになってしまいます。こうなると今度は最低限必要な対策にも金や人をもらえないハメになりかねません。本当に危ない脅威が出てきたときに、十分にそれに太刀打ちできない可能性があるのです。

今回の新型インフルエンザの騒ぎでは、貴重な経験がいくつか得られていると思います。まず、情報の不足。政府も当初はまとまった形で情報を開示できず、マスコミもＷＨＯや海外メディアの報道などの一部を切り取って報道してしまったために、全体像がわからず十分な知識が得られないままに時間が経過してしまったこと。もっとも重要なことは、一般市民がこれにどう対処すべきなのか、誰も明確なことを（相当の権威をもって）言えなかったこではないかと思います。全体像が、発表できるほど理解されていないのであれば、最低限何をすべきかをまず周知すべきだろうということです。たとえば、今回のインフルエンザの場合、まだ日本に入ってくる前の段階から、入ってくることを想定して、まだ流行している季節性インフルエンザを含めて感染防止策を国民に徹底させておく必要があっただろうと思います。一旦新型が入ってくると、季節性か新型かは医療機関でなければ判断できないため、季節性の患者を含めた大量の患者が発熱外来におしかけることも危惧されるからです。今回の新型は、毒性は季節性インフルエンザよりも大きくないことが当初からわかっていたわけなので、入ってきた場合、一般市民ができることは、季節性インフルエンザの場合とほとんどかわらないのですから、先手を打ってこれを、もっと強く周知してもよかったのではないか、ということです。マスク信仰についても、もうすこしきちんとした情報を国が出してほしかったと思います。まず、最初に行ってほしかったのは、風邪をひいている人や咳、発熱などの症状があれば、外出をできるだけひかえると同時に外出時には必ずマスクをしてください、というアナウンスです。感染していない多くの人がマスクをするよりも、はるかに効果があるはずです。マスクについての政府の態度は極めてあいまいだったと思います。これは邪推ですが、選挙前なので特需を期待する業界に気を遣ったのかもしれませんね。こうしたことを、厚労相あたりが会見の席ではっきりとマスコミに伝えて報道してもらうことが重要だったと思うのですが。どうみても、今の状況は、なんともなさそうな人がマスクをしていて、風邪をひいてそうな人がマスクなしで咳をしているという本末転倒な状態になってしまってます。今回のウイルスが強毒化して戻ってきたり、鳥インフルエンザ変異の新型が出現した際に、今回の経験が生きるのか、それとも逆にマイナスになってしまうのかは現時点では微妙な気がします。是非、政府にもマスコミにも、今回の騒ぎの総括をどこかでやってほしいものだと思います。

情報セキュリティの脅威に対する関心を高める際も、我々専門家は、一般ユーザがすべきことと、専門家レベル、つまりＳＯＣやＩＴ部門が行うべきことをきちんとわけて精査し、一般ユーザには全体像をきちんと知らせつつ、彼らが何をすべきなのか、「具体的な」メッセージを発信すべきでしょう。

こうして比べてみると、なかなか興味深いなと思います。