重要情報を載せて使うとき
本論に戻ろう。
どうしても個人情報（などの重要な情報）をノートパソコンで取り扱わざるを得ない、となったときにはどうすればいいだろうか？
その場合は、まずノートパソコンの機能を限定する必要があるだろう。ノートパソコンに限らずどのコンピュータでも同じだが、使う権限を安易に与えすぎる傾向がある。そのコンピュータを管理する管理者の権限と、一般的な利用だけの利用者の権限は当然異なるし、それに応じた権限を付与すべきであるのだが、きちんとその切り分けができていないと「与えすぎ」になってしまうのである。その結果、過剰な権限を利用して一般の利用者がファイル交換ソフトを勝手に導入して、ファイル交換ソフト上で動くウイルスに感染して重要な情報が漏洩してしまうのである（原子力発電所の重要情報などが、まさにこの原因で漏洩している。http://japan.cnet.com/news/sec/story/0,2000050480,20084712,00.htm）。ソフトウエアを勝手に入れて使えるようにする権限を与える必要はほとんどの場合無いはずである。業務で使うソフトウエアも何種類かに限定できるだろう。それさえ不自由なく使うことができれば、業務には支障が無いし、支障があるのならば使い方に問題があると考えた方が良いだろう。
ノートパソコン（コンピュータ）の機能を限定したら、次にやるべきなのは個人情報（などの重要な情報）の取り扱い手順を決めることだ。重要情報をコピーする場合、例えば上長の許可を得ることとし、使い終わったら必ず消去するように手順化する。
ただし、手順化したところで終わりというわけではない。手順を考えるときに抜け勝ちなのは、この例で言えば「上長が居なかったときにどうすればいいのか」ということである。そういう場合の処置も合わせて考えておく。
手順化のときにもう一つ考えなければならないのは、ちゃんと手順通りに扱われているかどうかをチェックすることである。チェックするための記録を残すソフトウエアを導入する手もあるが、導入すべきノートパソコンやコンピュータの台数によっては残念ながら少し高くついてしまうかも知れない。多数のコンピュータに大量の記録を残していたとしても、どうやって消化（分析、チェック）するのかという厄介な課題が存在する。それよりは、記録を残すべきコンピュータは絞り込み、そのコンピュータでのみ大事な情報を取り扱う、とした方が現実的だろう。ソフトウエアを導入できないときの代替手段としては人手をかけて抜き打ちなどでチェックする方法が考えられるが、こちらも絞り込まれていないと膨大な作業になってしまう。
ではもし、重要な情報を扱うノートパソコンやコンピュータを絞り込めず、どうしても全社員のコンピュータで重要な情報を取り扱わなければならないとしたらどうすればいいのであろうか。その場合、「重要な」情報を「全社員」が扱う、という事実自体が自己矛盾していると言えるため、「重要」というものの設定を根本的に考え直すべきであろう。
漏洩した後への対策
事後への対策についても考えておこう。ただし、広義の事後対策ではなく、漏洩してしまったとしても読み取れないようにするなどの、ノートパソコンに関わる「事後対策」に限定する。（広義の事後対策についてはまた別の機会に触れようと思う）
ノートパソコン自体が無くなった場合、ノートパソコンの中に格納されているデータを簡単には読み取れないようにしておきたい。それにはいくつかの方法がある。
USBキーなどのように、手持ちのキーを差し込まないとそもそも使うことができないようにしておく、というのが、さしあたっては最も強力な手段であろう。ノートに限らず、コンピュータの中身をOSを使って読み出す場合には、IDとパスワードが必要になる。少し余談になるが、パスワードがかかっていないというのは、この段階で「論外」であると言えるだろう。簡単なパスワードというのもそれに準ずる。パスワードは英数字に記号も組み合わせて、可能な限り難しくすることが最低限必要だが、そこで最大の難関は記憶しておくことになってしまう。しかし、難しいパスワードであってもメモしておけば良いのだ。メモしておき、財布にでも入れておこう。仮にノートパソコンが無くなったとしても、財布が手元にあればいいのだ。USBキーもそれと同じで、パソコンだけ手元にあっても、その中身を見ることは非常に難しくなる。
他に指紋による認証手段もあるが、これはセキュリティ上からはお勧めできない。USBキーやパスワードと違って、指紋はノートパソコン本体、キーボードなどにどうしても付着してしまう。これは言わば、鍵をノートパソコンに付けて管理しているということなのである。言い換えると、USBキーもパスワードも、鍵は分離して管理できるが、指紋はそれができない、ということである。
また、パスワードだけの管理をしている場合には、別なコンピュータにノートパソコンの中身のハードディスクを接続されて読み出される危険がある。しかし、これに対してはハードディスクの中身を暗号化しておく手段で対抗できる（暗号化ファイルシステム、データ自体の暗号化など）。USBキーの場合暗号化も同時に行ってくれることもあり、この組み合わせは現実的なコストでは読み取れないだろう。相手が経済的利益目的の犯罪者であれば、コストに見合わないことはやらないはずだ。コストをかけて読み取ろうと努力しても、読み取ることができるかどうかわからないようなことにかまけて時間を浪費するよりも、次のもっと簡単に読み取れる獲物に取りかかる方が効率的に儲かることになるのである。
（ただし、ここでも気をつけなければならないのは、Windowsの暗号化ファイルシステムを使う場合である。Windowsの暗号化ファイルシステムの場合、そのままの設定で使うと鍵と暗号になったデータを同じハードディスクの中に素のままで保管することになる。SYSKEYコマンドなどを用いて鍵を読み出しにくくするか、鍵を別な媒体に載せて分離して管理するなどの処置が必要である）
今回は多くの漏洩事例の原因となっているノートパソコンの漏洩対策について考えた。次回は組織的な取り組みとしての漏洩対策について考えてみようと思う。（2005年7月作成完了：少しだけ改訂して掲載）
