セキュリティの観点から企業サイトのガバナンスを考える

2017年7月20日から7月21日にかけて、公益社団法人日本アドバタイザーズ協会 Web広告研究会の主催で「Web担当者基礎講座 in Osaka」が開催されました。2日目のセッション6では「法律・セキュリティ」と題して弊社のアクセシビリティ/セキュリティスペシャリストの太田良典が登壇しました。

セミナーの概要は以下をご覧ください。

なぜ「法律・セキュリティ」なのか?

Web担当者向けのセミナーは多々ありますが、「法律・セキュリティ」をテーマとしたセッションは珍しいのではないでしょうか。

Web担当者基礎講座では、企業の新任Web担当者の方に、基礎知識を一通り身につけていただくことを目的としています。担当者としての心構えに始まり、要件定義、設計、広告の効果測定まで多岐にわたる内容を聞いていただいた後に、「法律・セキュリティ」のセッションがあります。ここまでのセッションがサイトをうまく運営するためのものであるのに対し、このセッションでは、サイトの運営がうまく行かなかったケースを扱います。

Webサイトは、何事もなく円滑に運営できるとは限りません。時には事故を起こしたり、問題になったりすることもあります。セッションでは以下のような事例を紹介して、それぞれ簡単に論じました。

• DeNAの健康情報サイト「WELQ」が全記事を非公開に、無責任な垂れ流しに批判集まる
• 予約を無断キャンセルした客の番号を共有するサイト、注目浴びる
• バニラ・エアの障害者差別と情報アクセシビリティの推進
• サイト改ざん相次ぐ　病院や大学、五輪相も被害
• カード情報67万件流出か　都税サイト、不正アクセス被害
• 「土地総合情報システム」における不正アクセスおよび情報流出の可能性について
• 富士市　消防タブレット感染　システム仕様からの脆弱性が原因
• 米国でマクドナルドが訴えられた

Webサイトで問題が生じた場合、担当者が最前線で対応を行うことになります。このとき対応を誤れば、問題が大きくなり、サービス閉鎖に至ることさえあります。

事前に備えるということ

このような問題に対しては、問題が起こらないようにすることが重要なのはもちろん、仮に起きた場合に、すぐに対応できるようにしておくという視点も必要です。対応が遅れると、被害が拡大したり、問題を放置しているとして更なる批判を招き、炎上が加速することもあります。すばやい対応が必要です。

ただ、すばやい対応と一口に言っても、それは容易なことではありません。特に情報セキュリティ事故の場合、サイトをいったん停止するといった判断が必要になることもあります。これは現場の担当者がその場で独断で決められることではなく、経営判断が必要になる事項です。以下のような点について、あらかじめ組織内できちんと議論したうえで、事前に備えておく必要があります。

• サイトの目的やミッションは何か
• 組織のポリシーはどうなっているか
• 発注時・制作時に必要な事項は何か
• 問題発生時の対応フローや責任者、連絡体制はどうなっているか

いずれの場合も、組織として考えた内容を事前に整理し、組織内で共有しておくことが重要です。最近では重厚長大な文書を作成することは嫌われる傾向にありますが、何もなければいざという時に対応できません。最低限の事柄だけでも、ガイドラインとして整備しておくべきです。

弊社では、数多くの大規模企業サイトを手掛けてきました。中には、海外に数百の法人と拠点を持ち、そのそれぞれが独自にWebサイトを制作・運用している組織もあります。このような組織において、ガイドラインを策定し、実際に運用するのは、想像以上に大変なことです。大規模であればあるほど、管理は困難になります。

BAの得意とする分野は、まさにこの部分です。現場の方からヒアリングを行いながら、大規模サイト群を整理し、戦略を策定し、ガイドラインを制定し、運用のお手伝いをする。単に押し付けるのではなく、現場で運用できないガイドラインは柔軟に修正し、また、現場の判断の負荷を下げるような仕組みをご提案する。BAには、このようなことに長い間取り組んできたノウハウがあります。

大規模企業サイトの管理にお困りの方、ぜひ一度ご相談ください。