John BoltonのThe Room Where It Happenedを読み始めた。世界中の誰もがKindleで一瞬にして手に入れることが出来る。
国家機密を漏らしているということでトランプが出版差し止めを求めた本だ。国家安全保障担当大統領補佐官に任命した人間が、自分に不利な機密に属する会話をペラペラ漏らすとは考えも及ばなかったことであろう。
機密情報を組織内でシェアする原則がいくつかあるので、主に情報へのアクセスの観点から述べてみたい。
【Need to knowの原則】
ユーザーのアクセス権の範囲を決定する際には、 当該ユーザーがアクセスしても良いデータに対してのみ、アクセスを許可するように設定するすることが肝要だ。
このような、情報は知る必要がある者に対してのみ与え、 知る権利を当然持つ者であっても、知る必要のない者には与えない、という原則を、Need to knowの原則という。
【Least Privilegeの原則】
データへのアクセス権は必要最小限の範囲でのみ認められるべきであり、 これを「Least Privilege（最小特権）の原則」という。
トランプ政権で考えると、
【大統領補佐官に無制限のアクセスを許すと・・】
アクセス権が適切に設定されていないと、 本来そのユーザーには禁止されるべき行為を許してしまうことになる。ボルトンのような秘密を洩らしそうなものには不用意に情報をシェアすべきではない。
【娘や娘婿にのみ特権を与えると・・】
主要閣僚や補佐官に、許されるべき情報アクセスに制限をかけてしまうことになる。やる気を失わせることにもなり、匙加減はとても難しい。
【規定値ゼロの原則】
アクセス権の設定は慎重に行い、 設定後に適切であったか検証することが重要だ。アクセス制御は、まずアクセスがない状態から考え、 その上に構築していくべきだ。この概念を「規定値ゼロの原則」という。
以上、基本的だが、トランプ大統領にも知っておいていただきたい原則だ。
(2020.7.12)