私たちは読者の皆様から、仕事中に遭遇した最も汚いITの秘話——グレーゾーンの嘘や、他の人がまったく気づかない技術の暗部——を募集しました。整理が終わった後、私たちはこれらの「秘密」を関連分野の専門家に渡し、分析してもらいました。その一部は専門家の共感を得ましたが、別のものは肯定されませんでした。

ITプロフェッショナルはしばしば、何事もなかったかのように灰色の嘘を広め、技術ビジネスの黒い権謀術数を弄ぶ。

ITプロフェッショナルはしばしば、問題の背後にある本当の原因を熟知している——時には、彼ら自身がトラブルの元凶である。

私たちは読者の皆様から、仕事中に遭遇した最も汚いITの秘話——グレーゾーンの嘘や、他の人がまったく気づかない技術の暗部——を募集しました。整理が終わった後、私たちはこれらの「秘密」を関連分野の専門家に渡し、分析してもらいました。その一部は専門家の共感を得ましたが、別のものは肯定されませんでした。

システム管理者が握る権力は、CIOにとって最も恐ろしい悪夢になり得るのか？ IT従業員は今も企業のデバイスを持ち去るのか？ 私たちがクラウドに保存したデータは、本当に跡形もなく消えるのか？ テクニカルサポートサービスが提示する価格は、法外に高いと言えるのか？

本日の記事を通じて、当事者と関連専門家たちの見解を一緒に理解していきます。

ITの汚い秘密その1：システム管理者が会社の急所を握っている

ITというイタチが、データという肥えた鶏の門番になっている

エドワード・スノーデンという人物とその事件に注目したことがある人なら、システム管理者一人がどれほどの破壊をもたらし得るかをきっと理解しているだろう。しかし、IT関係者自身でさえ、拘束を受けない管理者がどれほど驚くべき権力と危険性を持つのか、想像できないかもしれない。

「IT関係者にとって、秘密というものは存在しない」と、セキュリティサービス管理プロバイダーNetwork Box USAのCTOであるPierluigi Stellaは述べた。「私は自分のファイアウォールに探知ツールを仕込み、特定のコンピュータを出入りするあらゆるデータパケットを把握できる。人々がメッセージに何を書いているか、どのウェブサイトを訪れたか、Facebookに何を書いたかを見ることができる。実際、IT関係者がこの権力を誤用したり濫用したりしないようにする唯一の要素は道徳である。IT関係者は、私たちの身近に存在するNSA（アメリカ国家安全保障局）の縮図にほかならない。」

この状況はかなり一般的であり、ほとんどのCIOがすでにこの点を認識している、とデータ保護企業SafeNetの最高戦略責任者（CSO）であるTsion Gonenは指摘する。

「90%以上の企業がこうした危機に直面していると推定している」と彼は述べた。「企業セキュリティの信頼性は、IT管理者の信頼度と密接に関連している。どれだけ多くのシステム管理者が自分のアクセス権限を濫用しているかを正確に把握するのは難しい——しかし確かなのは、その数が毎週新聞の見出しを飾るほど多いということだ。最も恐ろしいのは、セキュリティリスクが、従業員にアクセス権限を割り当てる責任を負う者たちから生じることが多いことだ。」

データガバナンスソリューションのプロバイダーであるVaronis社のバイスプレジデント、David Gibsonも、管理者は通常、誰にも気づかれずにデータにアクセスする能力を確かに持っていると考えているが、彼は比較的具体性のある割合として50%という数字を挙げた。また、このような問題は管理者に限ったことではないと付け加えた——ほとんどのユーザーは、業務範囲を超えたより多くのデータにアクセスできる能力を持っている。

彼は、この難題を解決するには、解決策は2つの側面に集約できると述べた。「最小権限」モデルを利用して従業員のアクセス能力を弱めること、そしてデータへのアクセス者を継続的に監視することだ。

「企業は、どの従業員がどのようなデータにアクセスしたのか、そのデータが誰に帰属するのか、誰がその中のどのファイルにアクセスしたのかを把握する能力を持つ必要がある」と彼は述べた。「これを基に、IT部門はデータ所有者と直接連絡を取り、権限の削減と許容可能な使い勝手の維持の間でバランスを見つけることができる。」

ITの汚い秘密その2：従業員はおそらく「会社を我が家」にしている

「引退」したIT資産は、思いがけない形で第二の春を迎えている可能性が高い

古い技術機器が実際にゴミ箱に捨てられることはめったにない。それらはすぐに新しい住処を見つけることが多い——時には、その「新しい住処」はIT従業員の家と重なることもある。

従業員が使われなくなった機器を盗むのは、もはや珍しいことではない」と、IT資産に関連する詐欺とプライバシーコンプライアンス問題を専門に扱う企業Retire-ITのCEOであるKyle Marksは指摘する。「私はこれまで、公有物を自分のものにしたことがないIT専門家に一度も出会ったことがない。ほとんどの人にとって、時代遅れの機器を少し持っていくことは大したことではない。多くの人はこれをセキュリティ上の脅威とは見なさない——機器が廃棄されれば、自由に処分してもよいものだと思うのだ。

機器をゴミ捨て場や回収場所から拾い去る最大の問題は、そこにまだ機密データが含まれている可能性が高いことだ。そのデータが一度露出すれば、会社に莫大な損害をもたらす可能性がある、とMarksは指摘する。もちろん、その後の面倒が何もなかったとしても、そうした行為自体が会社の財産の窃盗に当たる。

「窃盗と詐欺は非常に深刻な事態であり、大規模なプライバシー事故を引き起こす可能性が極めて高い」と彼は付け加えた。「このまま放置すれば、無法なIT従業員が企業全体を崩壊の瀬戸際まで追い詰めるかもしれない。しかし、ほとんどの場合、すべての資産が適切に処理される（つまりすべてのデータが削除される）ことを確実にする責任者は、往々にしてIT部門の一員である。企業は、資産が正常な形でその役割を終えるようにするための『逆調達』プロセスを確立する必要がある。」

しかし、すべてのIT従業員が古いハードウェアに貪欲な手を伸ばすのだろうか？ 名前の公表を拒否したベテランのIT資産処分実務者は、実際の状況はMarksが下した推論とは大きくかけ離れていると述べた。

「窃盗行為が存在しないと言っているわけではない」と彼は説明した。「ただ、古いハードウェアに対して一定の処理パターンを持つ従事者に、私は一度も出会ったことがないと言いたいのだ。」

彼はまた、ほとんどの機器が姿を消すのは、紛失や、はっきり説明できない何らかの理由——例えば誤った場所に輸送されたこと——によるものだと付け加えた。

これはすべてを否定する傾向があるように聞こえるかもしれません。実際、多くの企業は、完全に誠実で信頼できる態度でセキュリティサービスを提供し、物事の進め方を守っている自分たちの姿勢に誇りを持っています。

ITの汚い秘密その3：データをクラウドに保存する——あなたが思うよりも危険だ

法的な条文と関わりを持てば、この世のどのような安全機構も私たちを守ることはできないだろう。

データをクラウド環境に保存するのは確かに便利だが、その利便性のために高額な代償を払うことになるかもしれない。絡み合った糸のような訴訟の渦中で、私たちのデータは跡形もなく消えてしまうだろう。

「ほとんどの人は、自分のデータがクラウド環境内の他人のシステムに保存され、他の企業のデータと隣り合わせになっている場合、相手側が法的紛争に巻き込まれると、自分のデータも巻き添えになって公開されざるを得なくなることに気づいていない」と、ITサポート企業であるCSIグループの社長Mike Balterは指摘する。

言い換えれば、あなたのクラウドデータは、他人に対する調査活動によって偶然巻き込まれる可能性が高い——ただ不運だというだけの理由で、容疑者側と同じサーバーを共有していただけで、企業は深刻な損失を被る可能性がある。

2012年1月には典型的な事例が発生した。当時、米国とニュージーランドの当局は、Kim Dotcon氏の会社であるMegaUploadのファイルロッカーを閉鎖した。実際に著作権侵害の疑いがある大量の映画データに加えて、当局は合法的な顧客から何千何万ものデータも没収し、返還を拒否した。今日に至るまで、こうした哀れな一般ユーザーは、自分のデータが再び取り戻せるかどうか確信を持てないでいる。

「データが差し押さえられるリスクは現実に存在する」と、Touro法律センターのビジネス・法律・技術研究部門ディレクターであるJonathan Ezorは裏付けた。「法執行機関や他の政府職員が何らかの法的根拠を持っていれば、ストレージ機器やシステムを没収することは十分に可能だ——特定の特別なケースでは承認が必要かもしれない——そして、それらのシステム内のデータは、嫌疑の有無にかかわらず、奪われる可能性がある。要するに、どの企業のデータも、管理範囲外に保存されている限り、ある程度の覗き見を避けることはできない——少なくとも他者は同じハードウェアにアクセスする権利を持っているのだ。」

この最悪の事態から身を守るためには、ユーザーは自分のデータが一体どこに保存されているのか、どの法律条項が現在の状況に適用されるのかを知らなければならない、とクラウドサービス企業JumpCloudのCEOであるDavid Campbellは述べた。

「私たちの提案は、サーバーとデータの物理的な場所を保証できるクラウドプロバイダー（例えばAmazon）を選ぶことです。そうすれば、未知のリスクを積極的にコントロールできます」と彼は指摘した。

Ezorはまた、データを暗号化することで、データを入手した者がその内容をうまく解読するのを効果的に防ぐことができると付け加えた。もう一つの良いアイデアは、手元にデータのバックアップを常に用意しておくことだ。それがいつ企業にとって最後の命綱になるか、本当に予測できない。

ITの汚い秘密その4：従業員はベルトを締め、経営者は空手形を切る

財務担当者が一番つらい

ほとんどすべての中型または大企業にとって、調達承認プロセスには2つの実行方法がある、とHawkthorneグループのCEOであるMike Meikleは指摘する——これは上級管理職向けおよび情報技術コンサルティング企業である。まず公式の調達プロセスがある——非常に時間がかかり、私たちはサーカスの子猫や子犬のように、次々と承認という『火の輪』をくぐらなければならない。その他に、特別な『VIP専用ダイヤモンド通路』があり、もちろん一部の『特別な人物』だけが利用できる。

「企業の経営幹部クラスの人々は、それぞれ自分たちの調達ルートを持っている」と彼は説明した。「IT関係者が8か月かかる承認プロセスを、そうした幹部はしばしば数週間で片付けてしまう——これでも非常に控えめな見積もりだ。私はこれを『VIP専用ダイヤモンド通路』と呼んでいる。私が関わった政府機関や民間企業の中で、この裏にしか存在しない謎の調達経路を完全に排除できたところはひとつもなかった。」

公式プロセスが従業員を意図的に苦しめるのは、彼らに会社のお金を使わせたくないからだ、とMeikleは指摘する——もちろん、彼らが何とかしてその秘密ルートに乗れる場合を除いてだが。彼はまた、残念ながらCIOはこのVIPクラブに加わる資格を持っていないことが多く、そのため大規模な技術調達が、厳格なコスト分析やIT戦略方針の検討を経ずに決定されてしまうことがしばしばある、と指摘した。

彼らは一緒に昼食に出かけ、ベンダーは彼らの耳元で甘い言葉を絶えずささやき続ける。その後の展開は皆さんご存知の通りだ。数十万ドルが気前よく投じられ、別のモバイルアプリケーション管理ソリューションを手に入れる。この連中は、企業がすでにそのようなソリューションを持っていることにまったく気づいていない、と彼は憤慨して述べた。「今や我々は2つのモバイルアプリケーション管理ソリューションを抱えている。こんなにたくさんあってどうするんだ、食うのか？」

だが、事実は必ずしもそうとは限らないと、軍部およびフォーチュン100企業に所属する匿名の人物は反論する。多くの企業が実際に標準的な調達プロセスを回避している可能性はあるが、そこに絡んでいるのは往々にしてIT部門が切実に必要としているものだ。そうすることで余計な手続きに時間を浪費したくないのだ、と彼は述べた。

「非技術系の役員には、大規模な調達決定を行うために必要なIT知識がまったく備わっていない」と彼は付け加えた。「もし上級管理職が調達審査プロセスを回避し、購入注文書に署名してサプライヤーに出荷を要求したなら、その後に発生したすべての技術的ミスは、説明責任および遡及メカニズムを通じてこいつに帰属させるべきだ。これはクリプトナイトとスーパーマンの関係のようなものだ。彼らにとって最大の天敵である。」

ITの汚い秘密その5：カスタマーサポートの天秤で弱い立場に立つ

技術者はただスクリプトをなぞっているだけだ

このような状況に馴染みがない人はいないだろう。私たちは携帯電話を通じて、地球の反対側にいるテクニカルサポート担当者と連絡を取るが、わずかなやり取りの後に、相手の技術レベルがまったく不十分で、ただ顧客に対して台本を読み上げているだけだと気づく。なんだと思う？実際のところ、まさにその通りである可能性が高い。

「ITサポートは安価な商品である」と、Striveテクノロジーコンサルティング社の社長Tim Singleton氏は指摘する。これは中小規模の顧客に特化したハイエンドのテクニカルサポート企業だ。「役に立つツールのほとんどは無料で、コンピュータがユーザーに求める知識も以前ほど厳しくなくなっている。隣の家の少女は、技術に精通した達人と同じくらい、IT企業のようにコンピュータのトラブルを解決できる可能性がある。」

しかし、このような結論はあまりに短絡的だと考える者もいる。単純な問題では確かにテクニカルサポートチームの必要性が感じられないかもしれないが、複雑な問題に関しては専門的なアドバイスが依然として不可欠である、とエンタープライズ向けリモートITサポートソリューション提供企業であるBomgar社のサービス＆サポート事業担当シニアバイスプレジデント、Aramis Alvarez氏は指摘する。

「ITサポートを『安価な商品』と呼ぶことの不適切さは、すべての技術的な問題を一律に扱えないという点にある」とAlvarez氏は述べる。「いくつかの基本的な問題は、技術に詳しい一般ユーザーでも正確に診断できるかもしれないが、ウイルス感染のようなより複雑なケースはそうはいかない。隣の少女は確かに多くの技術的知識を持っているかもしれないが、最終的にはコンピュータ上のデータに深刻な損害を与える可能性が高い。」

最終的に、私たちは後始末をするためにより高い代償を払わざるを得なくなる、とNew York Computer Help社のCEO、Joe Silverman氏は付け加える。このような問題は、企業が技術面で手を抜いたり、社内IT部門の負担が過重になったりする場合にしばしば発生する。

「日々の業務の中で、ニューヨーク現地の多くのオフィス組織や部門が、コンピュータ修理作業やIT業務に対していい加減な態度を取っているのを目にする。他社から人を引き抜いたり、家族を代役にしたり、中途半端なレベルの友人を招き入れたりしている」と彼は指摘する。「時には財務部門の従業員が駆り出されてコンピュータの問題を解決することもあるが、彼らは往々にして忙しすぎるか、経験が不十分で、故障したハードディスクやマザーボード、電源を修理することはできない。もしネットワークやサーバーがクラッシュした場合、皆さんは本当に財務部門の従業員にこの作業を頼むつもりなのか、それとも20年の実務経験を持つシニアネットワークエンジニアをより信頼するのか？」

ITの汚い秘密その6：私たちはあなたが想像するよりはるかに多くのことを知っている

広範にデータを収集し、全体像を把握する

自分はNSA（国家安全保障局）の厳重な監視下にいると思っている？消費者マーケティング企業やデータブローカーと比べれば、NSAは本当に児戯に等しい。

その中で最大の黒幕はカジノだ、と元カジノデータベースマネージャーで、自身の経験に基づいて『巧取豪奪：繁栄の街を巡る』を執筆・出版したJ. T. Mathis氏はこう語る。「皆さんがカジノに入るとき、賭けているのは決して金銭だけではない。皆さんは実際には自分の個人データを賭けているのだ。」Mathis氏の見積もりによれば、彼の元雇用主のマーケティングデータベースには、アクティブまたは非アクティブな賭博者の名前が約10万件以上含まれていた。

「カジノに足を踏み入れた瞬間から、皆さんの一挙手一投足は追跡下に置かれる」とMathis氏は指摘する。「もし皆さんがスロットマシンの前に座れば、カジノの管理者はあなたの現在位置、レバーを引いた回数、投入したコインの枚数をを握する。彼らはあなたが4：30に食事をするのが好きで、ロブスタープレートを好むことを知っている。あなたが最も好むタバコと酒のブランドをを握し、あなたが部屋でポルノ番組を視聴しているかどうかも知っている。そして夏休みに再び訪れた時、彼らはあなたと一緒に来たのが妻ではないことを一目で見抜き、従業員があなたの妻の名前『Barbara』ではなく、彼女の名前『Cindy』を呼べるようにしている。」

元カジノ役員で、現在ルイジアナ州立大学に勤務するMichael Simon教授は、Mathis氏の主張を裏付けた。しかし彼は、カジノがデータを収集する方法は、CVSやPetSmart、Amazonと比べても大差ないと付け加えた。

「私が現在担当しているMBAクラスはデータベース分析とデータマイニングを専門としている。私たちが調査したすべての企業が、顧客情報を収集し、顧客の個人のな習慣に応じてサービスを提供している」と彼は述べる。『私のゲーム人生：元カジノ役員の個人の視点』の著者でもあるSimon氏は、「これはすでに現在の一般的な商慣行となっており、決して人に隠すべき秘密ではない。例えば、私は自分の犬を連れてPetSmartに行き、特別な製品とサービスを利用しているが、彼らが提供する内容は必ず私の個人のな消費習慣に合致している。これには非常に満足している。別の視点から見れば、PetSmartは実に効率のな方法で私が欲しいものを提供しており、私が絶対に受け入れないであろうもの——例えば割引キャットフードや熱帯魚——を用意するために時間を無駄にしているわけではない」と付け加えた。

しかし、ただ一つだけ異なることがある。Mathis氏は2012年5月にカジノを解雇されたが、当時彼はまだデータベースのコピーを手元に保持していた。そしてコピーをカジノ側に返却しようとした際、彼の運は実に悪かった。相手は彼の電話に出ることを拒否した。それならば、彼は手元のデータを使ってギャンブルに関するあれこれを語るしかなかった。

出典：http://developer.51cto.com/art/201311/415064.htm