内部からの情報漏えいリスクを低減するには、、、？|セキュリティ|ブログ|Computerworld

読者の皆様

お待たせしました。
先日新潟出張で、「こしひかりゼリー」なるものをゲットした蔵本です。
なんとも不思議な味が、、、

さてさて、本題に入ります。
近年問題になっている内部からの情報漏えい防ぐには、どうすれば良いのかといったご質問を頂くことが最近増えてきているのですが、内部からの情報漏えいでなおかつ意図的なものに関しては、ご想像の通り、やはり対策は非常に難しいです。

まずは、監査の際に良く出てくる、成熟度の観点から、内部からの情報漏えいを防ぐために求められるレベルを見てみましょう。

セキュリティでも運用管理でも、助言型の監査を実施する際には、成熟度モデルを用いた指標が良く使われます。
成熟度モデルにはいくつかありますが、それらはいずれも結構内容的に似ています。例えばCOBITの内容をめちゃくちゃ簡単に言いますと、下記の６つにレベル分けされています。

0：不在
何もやっておらず、問題すら認識されていない。

1：初期/その場対応
標準化はされておらず、場当たり的な実施。俗人的。

2：再現性はあるが直感的
標準化されていないが、一部のみでは同等の手続きが行われる。

3：定められたプロセスがある
標準化及び文書化されており、周知されている。

4：管理され、測定が可能である
遵守状況のモニタリングまで実施されている。

5：最適化

いわゆる内部からの情報漏えいを食い止めるレベルってどこなのか？を考えますと、最低でも４は必要です。
近年問題となっている内部からの情報漏えいは、妥当なアクセス権を持った従業員が不正なアクセスではなく、正規の手段でアクセスした上で得た情報を漏らすケースが多いため、さらに４の中でもかなり５に近いレベルの４が求められます。

上記の成熟度定義でモニタリングという言葉が使われていますが、モニタリングといっても、何かインシデントが発生してから後処理的にモニタリング結果のログを閲覧するといったリアクティブなモニタリングではなく、週に一回等、短期的かつ定期的にログをプロアクティブに分析し、誰がどういった行動をしているのか？を常に把握する必要があります。また、この分析を従業員に告知する事で抑止力とする事も重要です。要は監視カメラを設置し、常に監視されているという意識を従業員に植え付ける事と同意です。

モニタリングは、遵守状況の確認が可能なだけでなく、抑止力としても働く事をうまく活用してやることが重要と言うことですね。外部からの攻撃と異なり、このリスクに対してはこうすれば良い！といううまくマッチングした対策がしにくいのが内部の特徴ですが、地道に上記のような活動を行うのがリスク低減への近道となります。

モニタリングしている事を告知する事は、思っているよりも効果的ですので、一度お試しください！

それでは、次回をお楽しみに！