幸松です。

@ITの以下の記事に、RSA Conference 2008 JapanでのGoogleのコンプライアンス担当ディレクターの話が載っています。

＠IT「グーグル新入社員はコードを書く前にセキュリティ教育を受ける」(2008/04/25)

記事によれば、タイトルの通りGoogleでは新入社員が入社すると、コードを書く前にまず「セキュリティに関する教育」を受けるようです。

セキュリティ教育で重要なのは従業員への意識付け

Googleでは、実際に業務（コードを書く）を行う前に、どのようなリスクがあり、どのような対策（セキュリティ開発手法や脆弱性への対処方法）が必要であるかをしっかりと学びます。

そうして「初めて」実際のコードを書いていくとのことです。

やはり、セキュリティ対策の中で一番重要なのは従業員一人一人の意識付けをすることです。

セキュリティ意識を持っている従業員は、もし規定には定められていない事態になっても、セキュリティを考慮した対応をとることが出来ます。

プライバシーマークやISMS/ISO27001を取得している企業では、従業員に対する情報セキュリティ教育を実施しますが、中には「形だけの」教育になっているところもあると思います。

一人ひとりにしっかりと意識付けをする意味でも「形だけ」でなく、「中身のある」教育を行っていく工夫をしてくべきです。