Column

社内の脅威に対抗する従業員のプロファイリング

社員の権限を使って情報を盗んだり、会社のITシステム破壊をもくろむ内部犯罪者を見つけ出し、排除するにはどうしたらいいだろうか。

公開 2007年06月21日 05時00分

更新 2012年09月04日 19時39分

著者

Joel Dubin

[TechTarget]

印刷する

　彼らは一見普通の従業員で、ほかのみんなと同様、黙々と仕事に励んでいるように見えるかもしれない。しかし実際は違う。社内の権限を使って社外秘データへのアクセスや窃盗、会社のITシステム破壊をもくろむ内部犯罪者なのだ。

　このような犯罪者から組織を守るには、どうしたらいいのか。どうすれば悪意を持ったインサイダーを見つけ出し、排除することができるのか。

　背信者のプロファイルを構築するのは1つの手段かもしれない。いったん特定すれば、ほかの従業員よりも注意深く調べることが可能になる。しかし、従業員のプロファイリングプログラムに着手する前に、問い掛けるべき点が3つある。内部犯罪者のプロファイルとは何か。怪しい人物を洗い出すことは合法あるいは適切なのか。プロファイリングのような騒ぎで危険を冒すことなく会社への攻撃を食い止められる、賢明な技術的解決策はないものか――例えばID・アクセス管理のように。

従業員プロファイリングモデル

　内部犯罪者のプロファイリングは実際に行われている。カーネギーメロン大学のCERT（コンピュータ緊急事態対策チーム）は2002年、内部の脅威に関する初の研究発表を行った。以後CERTでは、米財務省検察局と連携して毎年報告書の新版を発行してきた。この研究は、企業や組織内部に潜むコンピュータ犯罪者のプロファイリングの基盤となっている。

　CERTの研究報告では、詐欺、情報窃盗、破壊行為という3種類の内部犯行にスポットを当てている。研究によれば、典型的な内部犯罪者のプロファイリングは、それぞれの犯行によって異なる。詐欺行為は現役の従業員が行うことが多く、男性と女性の比率は半々、技術職や管理職以外の職種がほとんどを占める。一方、情報を盗み出すのは圧倒的に技術職の男性従業員が多い。

　最も見えにくいのは破壊行為だ。そのほとんどはやはり男性だが、既にシステムへのアクセス権を持っていない元従業員が大半を占める。多くは技術者で、高いスキルを持つ場合も多く、そのスキルを使い、盗んだユーザーアカウント情報か、離職または解雇される前に仕掛けておいた偽のログイン情報を使ってシステムに不正侵入する。こうした人物は、会社に対する恨みや個人的問題を抱えた従業員であることも多い。

　このプロファイルを考えると、不満を抱えた技術職の男性、あるいはいつかそうなりそうな人物は、すべて注意深く監視しなければならないのだろうか。そんなことはない。従業員プロファイリングを始める前に、従業員のプライバシーをつかさどる法律に何が違反し何が違反しないかについて、必ず社内の法務担当者か社外の弁護士に相談することだ。個人の性格を根拠とした従業員に関する差別的な記載があれば、プロファイリングのせいで会社が法的トラブルに巻き込まれる可能性もある。

予防的従業員プロファイリング

　一方、CERTのプロファイルを使って社内犯罪者から身を守るため、会社が取れる措置は5つある。これは正式なポリシーとして記述すべきではなく、非公式のベストプラクティスとすべきものだ。5段階の措置は以下の通り。

徹底的な身元調査を実施する
怪しい行動を見逃さない
常に全員に対しセキュリティポリシーを強制する
解雇手続きの一環として、システムへのアクセス権取り消しをルーティン化する
厳格なアクセス管理コントロールを利用する

　新しい従業員を採用する際は、身元調査を行う必要がある。この調査には、過去の雇用歴、教育、専門職としての実績チェックが含まれる。犯罪歴も確認を。可能であれば、過去の雇用を確認する際に、その人物が同僚や管理職とうまくいっていたかどうか、行動に何か問題はなかったかどうか探りを入れるといい。

　採用に当たっては、不正薬物やアルコール依存症についても調査が必要だ。内部犯罪者の中には、相当の依存症を抱えた人物もいることが分かっている。

　事前の身元調査で問題がないと分かっても、仕事を始めてからの危険信号を見落としてはいけない。同僚に対する攻撃的、威圧的、脅迫的行為、高慢な態度、オフィス内の何かに対する不満などがこの危険信号に当たる。CERTの研究によると、このような態度は、破壊行為、および程度は低くなるが情報窃盗のプロファイルに合致する。時には職場や個人の生活上の不本意な出来事が引き金となって、破壊行為に及ぶこともあるという。

　セキュリティポリシーと手順には、常に全従業員が従わなければならない。内部犯行でよくある手口として、特に長年勤めて信頼できると思われていた人物の場合、脅して不正アクセスを認めさせたり、定められた手順を無視することがある。

　全従業員に対する強力なアクセス管理コントロールを確実に利用する。情報はリスクの程度に応じて分類し、ユーザーグループには必要なだけのアクセス権しか与えない。これが有名な「最小特権の原則」だ。WindowsのActive DirectoryとUNIXシステムのLDAPは、いずれもグループを作成し、役割とリスクレベルに基づくアクセス制限をかけることが可能だ。

　そしてもちろん、従業員が長期休暇に入ったり解雇された場合、その人物が会社を出たら、できるだけ早くアクセス権を停止する。アカウントは定期的にチェックし、過去の従業員のアカウントは削除しなければならない。

　内部犯罪者が投げ掛ける脅威は複雑だ。これに対抗するには人的および技術的コントロールを伴う。プロファイリングは悪質なインサイダーに対抗するプログラムの一部だが、これが唯一の防御になってはならない。

本稿筆者のジョエル・デュビン氏はCISSP（公認情報システムセキュリティ専門家）資格を持つ独立系コンピュータセキュリティコンサルタント。マイクロソフトMVPに選ばれ、Web・アプリケーションセキュリティを専門とする。著書に「The Little Black Book of Computer Security」があり、IT Security Guyブログにも執筆している。