私は以前情報セキュリティの勉強をしていて、その内容は、運用に関する面が主体だった。そのころの知識は、マネジメントの学習と相まって、今の仕事でも大いに役立っている。

 もっとも注意しなければならないセキュリティ上の脅威は、内部の人間がやらかす「失敗」や「犯罪」である。だから組織は内規を設定して、それを社員に守らせなければならない。
 けれどその内規というものは往々にして守られないことがある。そうした際に組織がどう対応するかというと、なぜ内規が守られなかったのかを分析して、組織がある意味内省的に対策するのがよいとされている。例えば・・・。

・内規に運用上無理な点はなかったか-現場の業務を無視した内容はなかったか
・会社の「本気度」が伝わっていたか-全社的な取り組みとしてすすめられていたか
・セキュリティに関する研修・学習は日常不断に取り組まれていたか、
・セキュリティポリシーは社員にあまねく伝えられていたか・・等々

 セキュリティに限らず、組織を運営する上で、方針やら通達やらを出すことはよくあるが、それを社員が身につけ実践させるために、いろいろな手段を講じなければならないことはいうまでもない。文書一枚配布して「はいおしまい」では、組織の本気度も伝わらないし、社員もやる気を出さないことは自明のことだ。
 内規を守らなかったことに対して、厳罰主義で挑むのも一つの方法だが、それは最悪の対応とされている。社員の納得がないまま厳罰を科せば、それはモチベーションの急激な低下をもたらすためだ。

さて

 以前介護保険の監査に関して、その重箱の隅をつつくがごとき内容に、各地の事業所が辟易し憤怒していることは以前も書いたけれど、やや前に公立の特養初の資格取り消しを受けた「くすのきの郷」の事件に関して、岩波の「世界」が短い記事を載せていた。