今回のニュースは、USBメモリーの問題に見えますが、より大きく見ると「IT機器をどこから買い、どう管理するか」という話です。総務省は、自治体で使われるUSBメモリーや監視カメラ、パソコン、ルーターなどの利用実態を調べる方向で検討しているとされています。

IT機器には、見た目だけでは安全性が分かりにくいものがあります。正規品に見えても、容量が実際と違っていたり、内部に不正なプログラムが入っていたりする可能性があります。こうしたリスクは、サプライチェーン※1の問題として考えられます。サプライチェーンとは、製品が作られ、販売され、利用者の手元に届くまでの流れです。この途中で安全性の確認が不十分だと、組織の中にリスクのある機器が入り込むことがあります。

また、監視カメラやルーターのようにネットワーク※2につながる機器は、外部との通信が発生する場合があります。そのため、購入時の価格や性能だけでなく、メーカーのサポート、更新プログラムの提供状況、管理画面の設定なども確認する必要があります。

業務の例でいえば、事務所で使う小型ルーターやWebカメラを、急ぎだからと担当者判断で購入するケースがあります。短期的には便利でも、管理台帳に登録されていなければ、故障時や問題発生時に追跡が難しくなります。どの機器を、いつ、どこから購入し、誰が管理しているかを記録するだけでも、リスクを下げる第一歩になります。

IT従事者である我々は、システムの中身だけでなく、機器の入口にも注意を払う必要があります。まず取るべき行動は、購入前に承認ルートを確認し、出所の分からない機器を業務環境に入れない運用を徹底することです。

※1 サプライチェーン：製品が作られてから利用者に届くまでの流れ。

※2 ネットワーク：複数の機器をつないで情報をやり取りする仕組み。

※3 更新プログラム：不具合や弱点を直すために提供される修正データ。