ノートPC情報漏えい対策のポイント：Windows運用管理（1/8 ページ）

連載目次

　日本のPC市場に「ノートPC」という分野の製品が出てから、20年近くがたつ。現在の製品は当初のものと比べると、CPUの処理能力、液晶ディスプレイの表示能力、ハードディスクやメモリといった記憶媒体の能力、いずれをとってもデスクトップPCに匹敵する性能を備えたものが少なくない。そのため、業務に必要なアプリケーション・ソフトやデータ一式をノートPCに詰め込んで持ち歩き、どこでも仕事を行える環境を整えている方も多いだろう。

　こうした傾向に拍車かけたのが、携帯電話やPHSを利用した移動体データ通信サービス、あるいはブロードバンド回線と無線LANを組み合わせた公衆無線LANサービスの普及だ。実際、筆者自身もノートPCを中核としたワークスタイルを多用しており、移動中の電車の中などで原稿を書いたり、アイデアに詰まるとわざわざ外出して出先で原稿を書いたりすることがある。

　しかし、ノートPCを持ち歩いて業務に利用するということは、業務に使用される重要機密情報が、ノートPCとともにオフィスの外部に持ち出されるということも意味している。こうして持ち出したノートPCが盗難に遭い、内部に保存されていた機密情報や個人情報が外部に漏えいする事件がこのところ相次いでいるが、これはノートPCを持ち歩くというワークスタイルに伴って発生した、新たな種類のリスクといえる。

　究極の対策としては、ノートPCの利用、あるいはノートPCを利用したデータの持ち出しを禁止したうえで、ターミナル・サービスやWebアプリケーションを利用して、データを社内のサーバに集中するという方法がある。あるいは最近は、たとえデータが部外者に盗まれても、許可されたユーザーでなければ内容を読めないようにするRights Management（RM）のしくみも使えるようになった。業務の内容によっては、こうした徹底的な対策も必要だろう。

　しかし現実には、いつでもネットワーク接続を前提にできない外回りの営業担当者など、オフラインでの利用が不可欠なケースがある。また、あまりにも利便性を犠牲にしたセキュリティ対策は、ルーズな運用が抜け穴を作る原因になり、かえってセキュリティ・レベルを低下させる危険もある。多くの場合、データの持ち出しを一律に禁止するというのは現実的な対策とはいえない。

ノートPCの紛失、盗難時に考えられる情報漏えいリスク

　まず、具体的な対策に話を進める前に、業務に使用しているノートPCを外部に持ち出す場合のリスクについて具体的に考えてみよう。

1．ハードディスクに保存されているデータの漏えい、あるいは喪失
　ファイルの形でハードディスクに保存されている、個人情報を含むさまざまなデータ、仕事でやりとりした電子メール、電子メール送受信に使用するアドレス帳など、これらの情報は、すべて業務上の重要機密情報といえる。また、直接的な業務関連データだけでなく、個人的に使用しているアドレス帳の内容も、それ自身が個人情報の固まりであり取引先を知る手掛かりにもなるので、おろそかにはできない。

　こうしたハードディスク内の情報は、最悪の場合、ハードディスクを取り外して別のコンピュータで読み出される可能性があるので、システムへのログオンを防止するだけでは不十分であり、ハードディスクからの読み出し自体を阻止する必要がある。

2．各種認証情報の漏えい
　業務用途で使用しているコンピュータでは、データ通信サービス（プロバイダ接続など）、RASやVPNといった企業ネットワークへのリモート・アクセス接続など、ユーザー認証を必要とするネットワーク接続操作を行う場面が多い。使い勝手を重視して、WindowsではユーザーIDやパスワードの情報を記憶させておけるようになっている。従ってこの状態のノートPCを紛失すると、PCが記憶しているユーザー認証情報を利用してプロバイダに接続したり、企業ネットワークに接続したりできてしまう。

　またネットワーク接続以外にも、ファイル・サーバやWebサーバ接続時のユーザーIDやパスワードの情報を記憶できる。さらにInternet Explorer（以下IE）のオートコンプリート機能が動作していると、フォーム画面でユーザーIDとパスワードを入力するタイプのWebサイト、例えば銀行や証券会社のオンライン・サービス、オンライン・ショッピング、各種の会員制Webサイトなどを利用する際のユーザーIDとパスワードを記憶させておくことができる。パスワードが画面に直接表示されるわけではないが、これらを悪用すれば、バンキングやトレーディング・サービスにアクセスできてしまう。

IEのユーザー認証ダイアログの例
ユーザー認証を必要とするWebサイトに接続した際に表示されるこのダイアログで［パスワードを記憶する］チェック・ボックスをオンにすると、次に同じWebサーバに接続した際に、最初からユーザーIDとパスワードが入力された状態でダイアログが表示される。パスワードは「********」と目隠しされて表示されているが、パスワードを知らないユーザーでもサービスに接続できてしまう。
　（1）このチェック・ボックスをオンにして［OK］をクリックすると、入力したユーザー名とパスワードが記憶され、次回はユーザー名とパスワードが入力された状態でダイアログが表示されるようになる。

本稿が想定する保護レベル

　本稿では、これらのリスクを念頭に、社外に持ち出したノートPCをうっかり紛失してしまうような事態を想定した、各種のデータ保全対策について考えてみる。ただし、最初からデータの窃取を意図した攻撃に耐えるような完全性を求めるのではなく、拾われたらすぐにデータが見られてしまうという無防備な状態を回避し、面倒な手続きを踏まなければデータは見られないような、一定の安全性を確保することを目指す。

　対象OSはWindows XPとし、使用する手段はWindows XPが備えている標準機能を中心として、特別なハードウェアやソフトウェアを必要とするケースは簡単な紹介にとどめる。これは、特定の製品に依存しなくても、誰でも容易に対策できる点を重視したことによる。

　そのため、要求されるセキュリティの度合いによっては、本稿で取り上げた内容では不十分ということも考えられる。その場合には別途、専用ハードウェアやソフトウェアの追加、運用上の工夫などでセキュリティ強化策を講じることになるだろう。あくまで、本稿で取り上げている内容はその土台作りと考えていただきたい。

　本稿が想定するのは、企業ユーザーが使用するノートPCで、日常業務に使用するワードプロセッサ・表計算・プレゼンテーションなどの文書ファイル、電子メール、アドレス帳、各種メモといった情報をハードディスクに記録して、持ち歩く使い方を前提にしている。万一ノートPCを紛失したり、盗難に遭ったりしても、簡単には悪用されないレベルを目指す。

　本論に入る前に、本稿で取り上げている各種対策と、各対策が効果を発揮するリスクを一覧にまとめた。「○」は効果あり、「△」は間接的に効果あり、「×」は効果なしという意味だ。講じるべき対策を取捨選択する際に役立てていただきたい。