未来永劫なくならない
いつも人が足を引っ張る――最大のセキュリティリスク“人の行動”をどうする？
情報セキュリティに対する脅威の中でも未来永劫なくならないと予想される脅威が「ヒューマンエラー」だ。本稿では、自分たち人間に対処するための3つのベストプラクティスをセキュリティの専門家が解説する。
日本年金機構の情報漏えい事件も人的ミスが原因の1つとされる。画像は日本年金機構のWebサイト《クリックで拡大》
数カ月前、筆者はあるIT部門責任者向けカンファレンスに参加していた。そのカンファレンスのトピックの1つに「情報セキュリティプロセスとテクノロジー」があった。数人が講演を終えた後、進行役の人が参加者を幾つかのグループに分けた。情報セキュリティに対する脅威についてのディスカッションを円滑に進めるためだ。筆者のグループでは進行役が、まずIT部門責任者の元に届く情報セキュリティのニュースの中で朗報だと思うものをメンバーに尋ねた。同じグループの他のメンバーは、監査を通過したとか、しばらく問題が発生することなくやり過ごせているとか、そういった趣旨のことを答えていた。筆者は恐る恐る手を挙げて、情報セキュリティのニュースでうれしいと思うのは自分以外の誰かが情報漏えいの被害に遭った報せだと発言した。なぜこれが良いニュースなのかを説明しよう。
まず、被害者は自分ではないからだ。そして、2つ目の理由は、他人が被害者である限り、情報漏えいが大々的に報道された後には自社の情報セキュリティに投資する資金を得られる可能性が高まるからだ。
情報セキュリティに関する脅威、反響、テクノロジーは絶えず変化している。この状況は未来永劫変わらないだろう。
情報セキュリティに対する脅威と、それに対抗するためのプロセスやツールは全て大きな変化を遂げてきた。だが、変わることなく、絶えず続くリスクとして残っている領域がある。それは人間の行動だ。人間が適切な行動をとるようにする確実な方法を編み出すことはできていない。だが、IT部門の責任者が報道陣の前に立たざるを得ない機会を減らすためにできることは幾つかある。
ヒューマンエラーを減らす3つの情報セキュリティプロセス
次の事項を実施することで、大きな違いが生じる。
1．データへのアクセスを分類して制限
一部の種類のデータは他の種類のデータに比べて機密性が高い。企業内の全データを保護する方法を考えることは不可能かもしれない。だが、機密データが企業内データのほんの一部または重要なデータである場合、物事はもっと簡単になる。筆者は、データをさまざまな区分に分類するための基準を定義する作業が好きである。財務データが機密であることは明らかで、顧客の個人情報が機密であるのも同様だ。ただし、ほとんどのデータは厳重な保護に値しない可能性がある。
企業内データを分類したら、次は機密データへのアクセスが本当に必要なユーザーを特定されたい。機密データにアクセスできるユーザーは、できるだけ少ない方が良い。「情報適格性」の基準を情報セキュリティプロセスに取り込むことが必要だ。こうなるとデータに関する役割とアクセス許可を定義する必要が生じるため、データに対するアクセス制限は面倒なものになる可能性がある。また、定期的な更新も必要だ。更新の対象となるのは、「データの分類」「データに関する役割とアクセス許可」「そうした役割とアクセス許可を必要とするユーザー」だ。どれも面倒な作業だが、その手間に見合う価値は十分にある。
2．機密データへのアクセス制限とアクセス記録
機密データへのアクセス制限に加え、データへのアクセスを記録するプロセスとツールの実装が必要になる。これらを実装すると、汎用（はんよう）ユーザーアカウントを排除しなければならなくなる可能性がある。特に管理者アカウントは利用不可能にしなければならないだろう。定期的なアクセス調査の一環として、誰がどのデータにアクセスしているかを調査し、そのアクセスが適切であるかを確認しなければならない。アクセスログを確認することでアクセスルールを改善することもできる。だが、一部のシステムには、汎用の管理者アカウントを回避する方法が全くない。そのため誰がどのデータにアクセスしたかを明らかにするという目的は達成不可能だ。この問題を回避できるのが、キー管理システムだ。管理者はキー管理システムでキーをチェックアウトして、汎用の管理者アカウントを使用する。一般的に、企業の機密データに誰がアクセスしているのかを知る必要がある。
3．機密データの受け渡し方法の確認
顧客や財政関連の機密データを社内で受け渡しする方法についても確認が必要だ。このような機密データは、その都度異なる方法でやりとりされ、思慮が足りない方法でやりとりされることはあまりに多い。顧客の請求書に関する質問を受けると、その返答として請求書の詳細を記載したメールを送信している。だが、こうした情報は決してメールで送るべきではない。筆者は顧客サービスを担当するチームと資金の受け取りを担当するチームの元でしばらく時間を過ごしたが、この取り組みは参考になった。目的は、各チームがチーム内や他の部署とどのように情報をやりとりしているのかをひたすら観察することだった。そして、その方法に問題がある場合は、情報のやりとりについてもっとセキュリティが強化されたアプローチを実行すれば良い。
セキュリティツールを開発および改良する開発者が、全ての問題を把握し、既知／未知を問わず情報セキュリティに対するあらゆる脅威に対抗できる包括的なツールを考案できるのが理想だろう。ただし、「ナイジェリアの手紙」詐欺にだまされる人が依然として存在するのが実情だ。このような人がいる限り、セキュリティ方針の一貫として、人間の行動を補うための情報セキュリティプロセスが欠かせないのである。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社フィックスターズ] 組み込み開発特有の課題も解消できる「AI活用」の秘訣とは？ -
事例
[株式会社ビザスク] 「新規事業」事例集：大手企業はどのように想定顧客ヒアリングを行っているのか -
市場調査・トレンド
[株式会社ビザスク] 質の高い「仮説検証インタビュー」を実施するためのポイント -
事例
[株式会社ビザスク] 富士フイルムの新領域参入に学ぶ事業創出 「畑違い」でもビジネス化できる方法 -
事例
[株式会社ビザスク] 三菱電機 上席執行役員に学ぶ、未来を切り開く「新事業創出」の実践方法
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
2
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
3
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
4
鹿島建設のDXを阻む「10年前のAWS」 安全性と自由度を両立したモダナイズ
-
5
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
6
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
7
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
8
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
9
Microsoft 365の「テナント統合・分離」問題 手戻りのない道を選ぶ秘訣とは？
-
10
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
3
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
8
システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー