慶応大・武田教授が語る内部犯行対策

内部情報漏えい対策は「疑う」のではなく「守る」ためのもの

2008/12/08

　12月5日、情報漏えいの実情を紹介するとともに、「DLP（Data Loss Prevention）」などの新たな情報漏えい対策アプローチについて考察するセミナー「誰もが悩む『内部からの情報漏えい対策と運用』」が、＠IT編集部の主催で行われた。冒頭の基調講演には、慶應義塾大学大学院政策・メディア研究科の武田圭史教授が登場し、内部からの情報漏えいを防ぐための留意点を説明した。

　武田氏によると、内部からの情報漏えいは大きく「本人が意図せず漏えいするパターン」と「意図的な内部犯行」の2つに分けることができる。

慶應義塾大学大学院政策・メディア研究科教授、カーネギーメロン大学大学院情報セキュリティ研究科（日本校）客員教授の武田圭史氏

　意図せず漏えいしてしまうパターンの代表例が、ウイルス感染による、WinnyやShareといったファイル共有ソフトウェアを介した情報流出だ。これまで多くの事例が報道されてきたが、中には、PCを利用していた本人に悪気がないのに流出してしまったケースも少なくないという。

　「持ち帰り残業をして自宅のPCで作業したところ、本人は使っていなくても家族が同じPCでWinnyやShareを使っており、そこから会社の情報が流出してしまったケースが報じられている。たびたび報道されたこともあり、こういう危険性は重々承知していると思うけれど、誘惑に駆られることもある。改めて注意を喚起したい」（武田氏）。また、業務委託先から情報が流出するケースにも触れ、「正社員だけでなく、情報にアクセスできるすべての人がリスクを背負っている」ことを意識すべきと述べた。

　意図しない流出例の2つ目は、Webサーバでの誤公開だ。それも、従来はサーバの設定ミスによって誰でも情報を閲覧できる状態にしてしまうパターンが多かったが、最近は、無料で使えるWebサービスを活用した結果、情報流出につながるケースがあるという。こうしたサービスは便利だが、管理やシステム設計がずさんなこともあり、中には、デフォルト状態で意図せず自分の個人情報が公開状態になることもある。武田氏は、「ただほど怖いものはない」と述べ、今後、クラウドコンピューティングの活用は進んでいくだろうが、一方でこうしたサービスの「こなれていない部分」に注意する必要もあるとした。

　もう1つの意図せざる情報流出は、電子メールの誤送信というパターンだ。最近のメーラーの多くは、アドレスの入力を補助する自動入力機能が付いている。だがそれが、誤送信を招くことは珍しくない。誤送信を防ぐならば、こうした機能をオフにするか、送信前に宛先を今一度確認するといった注意が必要だという。

内部犯行者のプロファイリング、その実態は

　一方で、意図的な内部犯行による情報漏えいも後を絶たない。特に、内部関係者がUSBやCD-ROMといった記録媒体に情報をコピーして持ち出す場合は、「どうせならたくさん持ち出した方がいい」と犯人が考えるせいか、被害が大きくなる傾向があるという。

　武田氏は、まず転売や恐喝を目的とした犯行については、断固とした法的措置を取るべきだと説いた。また、増加しているPC盗難への対策として、きちんと鍵の掛かるところにPC本体を収納して保護するほか、外部記録媒体の登録制などを採用して「基本的に持ち込まない、持ち込ませない」ような仕組み作りが必要だという。

　やっかいなのは、退職者が情報を一緒に持ち出すケースだ。米US-CERTが実施した「内部脅威事例」のプロファイリング分析によると、機密情報の盗難・漏えい事件の半数は退職予定者の手によるものだったという。また、外部からリモートアクセス可能なバックドアなどを設けて企業活動を妨害する「ITサボタージュ（妨害工作）」と呼ばれる犯行も報告されている。オフショアやアウトソーシングが進み、外部の人材が自社のITシステムに携わるケースが増えるにつれて、ITサボタージュのリスクも高まるだろうと同氏は警告した。

　こういった意図的な犯行に対しては、「必要な人に必要なだけのアクセス権限を与える」「IT利用を監視し、記録を取る」といった対策が必要だと武田氏は述べた。

　「これまで、『仲間を疑うのか』という反発もあって、内部情報漏えい対策はなかなか声高に言われてこなかった。しかし、対策するということは、何かあったときに『社員はやっていない』と証明し、皆さんを守るもの。これにより逆に相互の信頼を高めることができる」（武田氏）。

　武田氏はさらに、情報セキュリティ対策における「見える化」の重要性を訴えた。特に情報セキュリティの分野では脅威の実態が見えにくいが、「そもそも見えないものは管理できない」（同氏）。守るべきもの、管理すべきものを見える化し、さらに何が起こっているかという「状態」を見える化する仕組みを作り、運営していくことが求められるという。

　同氏は最後に、情報漏えい対策には今後も注目が集まるだろうと述べ、「社員を大事にするという観点から、（内部情報漏えいをしようという）その気にさせず、また何かが起こっても社員が犯人ではないと証明できる手段を持つことで、安心して働ける環境を整えるべき」と述べた。また逆に自己防衛として、アクセスが不要な情報については自分から「これは要らない」といえる癖を付けることで、「自分自身を、そして組織を守ることができる」と述べている。