組織はすべて人で動くので、正規の従業員あるいはその他の臨時従業員も含めて、業務単位あるいは職位単位でセキュリティの権限と責任を明確にし、文書化しておくことが重要です。一般に職務定義書などと呼ばれる文書類がそれにあたりますが、その内容については情報セキュリティの面からの検討が必要になります。

　また、情報を取り扱うという観点から職務を分類すると以下のように分類されます。

コース （A  B  C  D  E）

人的資源といった場合、組織の正規な従業員のほかに、同じプロジェクトで働く派遣社員や契約社員、出向者、アルバイト、およびパートなどが考えられます。これらの人も含めてリモートアクセス環境で業務を行う場合には、事前にそれぞれの業務に必要とされるセキュリティレベルを明確にし、そのセキュリティレベルを遵守させることが必要です。
　リモートアクセスで業務を行う場合は、オフィス内における業務と異なり、管理監督者の目が届きにくくなり、セキュリティの監視が緩くならざるをえません。セキュリティ責任は本人の自覚に依存するところが大きくなるため、本人の能力・資質を考慮した業務の割り当てを行うとともに、業務開始にあたっては、その行動基準を決め、トラブル発生時における処置なども含めて、事前に十分な教育を行う必要があります。
　

今までリモートアクセスを利用していた個人が、リモートアクセスの利用を終了する場合には、個人として行うべきことと組織として行うべきことがあります。

　個人として行うべきことは

一方、組織として行うべきことは

組織としては上記の処置を自ら行うと共に、個人に対しても終了時の処置がきちんと行われたことを確認する必要があります。
　

コース （A  B  C  D  E）

　5.4.1で情報や資産へのアクセス権と取り扱い手順について述べましたが、このアクセス権の管理を行うことをアクセス制御といい、これを厳重に行う必要があります。アクセス制御の基本的な考えは、適切なユーザーに最小限必要なアクセス権限のみを与えることを原則とします。また組織内での異動や業務の変更の場合については必ずアクセス権の見直しを行わなければなりません。リモートアクセスにおけるアクセス制御は情報資産の価値とネットワークの特性およびユーザーの特性とから決めますので、それぞれの特性を正しく理解し分類しなければなりません。

　例を以下に示します。

ネットワークへ接続するためには、適切なログイン権限を設定し管理する必要があります。これはオフィス内における接続でもリモートアクセス環境における接続でも同じです。特にリモート接続においては必要以上にログイン権限を与えないことが重要です。具体的なログイン権限はユーザー毎にアカウント（あるいはユーザーID）を設定してこのアカウントを管理するので、同じアカウントを複数のユーザーが共有するとアカウントからユーザーが特定できなくなります。また退職時やリモートアクセス業務終了時には直ちにこのアカウントは削除します。

　ユーザーのパスワードを管理することも重要です。パスワードがクラッカー(5.7.1参照)により破られると、簡単にシステムにアクセスされてしまいます。パスワードを破る方法はパスワードクラックキングと言われ、その方法は大きく３種類あります。

したがって、これらの攻撃に耐えうるようなパスワードの設定や管理が必要になります。
　例えば、

コース （A  B  C  D  E）

正規の従業員、臨時の従業員（外注、パート、アルバイトなど）にかかわらず、組織に新規に採用されたり、新たな業務に従事することになった人に対して必ずセキュリティ教育を行います。その内容は、以下が考えられます。
�@ 情報セキュリティの重要性

教育は新規採用時に一度行えば済むものではありません。組織内外の情報セキュリティに関する環境の変化に応じて教育内容も変えて行うことが必要です。さらに同じ内容でも何度でも根気よく教育を行うことが効果をあげます。従っていろいろな機会を捉えて、例えば毎週のミーティングがあればそのときを利用して、いろいろな角度から情報セキュリティに関しての情報を提供することが従業員の意識向上に役立ちます。
　教育の形態は従来からの集合教育のほかに、リモートアクセス環境においては個人の業務時間に合わせてフレキシブルに教育を受けられるeラーニングの手法が有効です。どれかひとつの手法に頼ることなく、いろいろな手法の組み合わせにより、マンネリ化しない教育方法を考えて続けることが教育効果を高める近道です。
　　また、従業員が辞める場合、あるいは他の業務に異動する場合などには、従来の業務に関係して得た情報に取り扱いに関して、はっきりとした規則を決めておき、それを守らせることが重要です。
　

コース （A  B  C  D  E）