Fox on Security

セキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。専門はPCI DSS。

プールに見るリスク管理

プールの水栓閉め忘れは、リスク管理の教材となりそうです。

www.asahi.com

 

 神奈川県綾瀬市は17日、市立綾西小学校で10月にプールの給水栓を19日余り、閉め忘れたため、約4千立方メートルの水道水が流出し、同月の上下水道料金が約116万円になったと発表した。

 市教育総務課によると、同校プールは消防用水として常に貯水する必要があるので、修繕工事の調査で水を抜いた後、10月10日午後に同課の担当職員が給水栓を開いた。満水まで長時間かかるため、職員は夕刻に栓を閉めて翌日再開するよう学校側に依頼したと主張するが、学校側は「開栓したことを認識していない」と反論しているという。

朝日新聞記事より引用)

 

◆キタきつねの所感

事件の経緯を見ると、職員が水を出して、学校側に役割を引き継いでいたはず。その認識が双方で食い違っていた、という単純な引継ぎミスな気がします。勿論そこには、直接的なこの事件の原因が隠されているのは間違いありません。

よく家電等の修理業者に来てもらった際には、作業範囲を明示した紙に、工事をしてもらった側が作業確認の署名をする事がありますが、こうした作業証跡を残す運用、あるいは作業に学校側の担当が同席する運用であれば、こうした『依頼した』『依頼されてない』問題はほとんど無くなるかと思います。

 

ここで取り上げたかったのは、そうした業務引継ぎや責任分解点ではなく、19日も水を出しっ放しで誰も気づかなかった点です。プールでの話ではありますが、イバー攻撃を受けた企業と置き換えると、よくある話である事に気づきます

 

事件の時系列を見るとと、10月10日に市の職員が作業した後、10月29日に学校職員が気づく・・・までの19日間に誰も異常に気づけていません。職員、学生も含めて多くの人がプールが使われてない時期に水が出しっぱなしである事を気づかない、 つまり異常な事に対して鈍感である事が伺えます。

 

こうした大きな要因として考えられるのが、”他人任せで考えない”事なのではないでしょうか。

 

人為的な作業はミスが起こりえる事(学校職員の閉栓ミス)を想定した学校では、水道メーターの日次確認をしています。プール程の水量であるならば、少なくても次の日には水道メーターが異常になっている事に気付くはずです。毎日役職者の方がチェックする、あるいは用務員さんにチェックしてもらう事が出来れば、漏水などの兆候把握も含めたチェックができるはずです。

 

サイバー対策の場合、例えば通信量のチェックがこれに近いかもしれません。

 

人為的な運用はミスが起こるのが当たり前。そうした考えで事故を防ぐ仕組みを考えるべきなのは、水道でもサイバー対策でも同じである事は言うまでもありません。

 

æ°´æ³³ã®ã¤ã©ã¹ãããã¼ã«ã

 

 

更新履歴

  • 2018年12月23日AM(予約投稿)