不正アクセス、盗難に強いモバイルコンピューティングとは？

“情報漏えいシンドローム”に負けないモバイルアクセス

情報漏えいへの懸念からノートPCなどの持ち出しを禁止する企業も、今後は不測の事態における事業継続性も考えねばならない。モバイルアクセスを封印せずに積極活用するための方策を示そう。

公開 2009年04月16日 08時00分

更新 2012年09月04日 18時10分

著者

中浦猛

[ネットマークス]

印刷する

　2008年4月から京都議定書で決められた第一約束期間が始まり、企業はCO2の排出削減に向けた社会的な責任を求められている。またその一方で、新型インフルエンザや新種のウイルスなどのパンデミック発生時の、事業継続性に関する検討も余儀なくされつつある。社員の人員削減やワークシェアリングの検討、大型案件の凍結など世界同時不況の中で、企業はこれらの課題をできるだけ少ない投資で、最大限の効果を得られるように解決していく必要がある。

　例えば東京都では、CO2削減の具体的な数値目標が条例化され、経済産業省からは省エネルギー設備導入によるCO2排出削減量の認定や補助の実施、厚生省からはパンデミック発生時の在宅勤務やラッシュ時の通勤・公共交通機関の利用回避などのガイドラインが示されているが、どこまで対策ができているだろうか？

　現在企業で一般的に使用されているノートPCを使った社内システムへのモバイルアクセスは、これらの課題を一挙に解決する可能性があるにもかかわらず、“情報漏えいシンドローム”によって積極的には活用されていない状況ではないだろうか？　今回は、PCによる企業へのモバイルアクセスを積極活用するという視点に立って、そこから起こり得る情報漏えいの問題を整理し、解決できるようシステムと対策を見直してみよう。

情報漏えいや盗難に強いモバイルアクセスを考える

　昨今、企業では情報漏えい対策の一環として、PCを外部に持ち出すことが難しくなっている。許可を受けなければPCを外部に持ち出せないようにしたり、極端な場合自宅での残業のためにPCを持ち帰ることを禁止したりしていることもある。

　2008年のJNSA（日本ネットワークセキュリティ協会）の調査データによると、情報漏えいの媒体・経路の半数以上は紙媒体からによるもので、前年度から15％以上も増加している。次いでPCやUSBメモリ、Webなどのネット経由と続くが、こちらの比率は前年度から比較すると実は減少傾向となっている。

図1●情報漏えいの媒体・経路（出典：日本ネットワークセキュリティ協会「2007年情報セキュリティインシデントに関する調査報告書 Ver. 1.5／2008年上半期情報セキュリティインシデントに関する調査報告書【速報版】 Ver. 1.1」）

　PCやUSBメモリからの漏えい事件が減少しているのは、上記の通り情報漏えいに対する強い危機意識から、PCの外部持ち出しが禁止されているためだろう。この結果、モバイルアクセスが活発には利用されていないという環境になってしまったと考えられる。では、情報漏えいを起こさないよう安全にモバイルアクセスを行うにはどうすればいいだろうか？

　まず、自宅で家族とPCを共用している場合に自分以外の人がウイルスに感染してしまったり、ネットカフェでキーロガーなどの悪意あるツールを仕掛けられている可能性を考えると、これらの共用PCからのモバイルアクセスを許可することはできない。つまり、企業によって管理されたPCからのアクセスのみを許可する必要がある。

　また、PCやUSBメモリの盗難や紛失から情報漏えいが起こらないように（正確には起こりにくいように）、HDDのデータを暗号化し、かつPCへのアクセス認証を強化する必要がある。また、企業内からの機密データ持ち出しやWinnyなどの不正ソフトウェア利用を防ぐためには、PCの操作ログを取得したり、PCの利用状況をきちんと把握しておく必要もあるだろう。

モバイルアクセスには欠かせないVPNアクセス環境を容易に構築するSSL VPN装置。写真はジュニパーネットワークスの「NetScreen-SA 4000」

　このほかにも、インターネット上での盗聴や不正アクセスを防ぐために、VPNで通信経路を暗号化し、かつアクセス時の認証を強化しておくべきである。

表1●モバイルアクセスで情報漏えいをさせないための対策一覧
解決すべき問題	問題への対策
インターネット上での盗聴	通信経路の暗号化（VPN）

|外部からの不正アクセス|アクセス時の認証強化
（→対策ポイント1）|

|---|---|

|企業内からの機密データ持ち出し|PCの操作ログの取得
（→対策ポイント2、対策ポイント3＃r3＃＃）|

|---|---|

|PC・USBメモリの盗難や紛失|データの暗号化および認証強化
（→対策ポイント1、対策ポイント2＃r2＃＃）|

|---|---|

|Winnyなど不正ソフトウェアの利用|企業に管理された端末の限定利用と状況の把握
（→対策ポイント3）|

|---|---|

　このようにそれぞれの問題に対して適切な対策を行うことで、情報漏えいの危険性をなくし、安心してモバイルアクセスできるようになる。

セキュアなアクセスを実現する3つのポイント

　それでは、それぞれの対策を行うに当たって具体的にはどうすればいいのか。以降は対策上のポイントを3つ紹介する。

対策ポイント1 「認証強化」

：不正アクセス対策、盗難・紛失対策

　企業への入り口となるVPNのゲートウェイ装置の不正アクセス対策として、認証のプロセスを強化しておく必要がある。

　ID・パスワードの組み合わせのみよりも、例えば指紋を使った認証やRSA SecurIDに代表されるトークンタイプのワンタイムパスワード方式、シー・エス・イーの「SECUREMATRIX」に代表されるイメージタイプのワンタイムパスワード方式など、少なくとも二要素以上の認証方式を選択したい。

指紋認証機能を持つUSBメモリ（写真はソニーの「PUPPY」）とHDD暗号化ソフトを組み合わせてOS起動前の認証を強化したり、PCが盗まれてもHDDへの不正アクセスを防いだりできる

　指紋認証については、もちろんパスワードを覚えたりする必要はないが、指紋の読み取りデバイスが必要となる。USBメモリ（指紋認証に成功しないと使用できない仕様）と一体化した製品もあり、安全かつ利便性の高いものとなっている。また、ワンタイムパスワードは辞書攻撃や総当たり攻撃に対して強固で、不正アクセス対策に有効だ（※1）。トークン式はイメージ式と違いワンタイムパスワードを表示するトークンを所持している必要があるため、利便性は低くなるものの、より安全性を高めることができる。

※1：RSA Securityからはパンデミック対策として、一時的に（契約期間中の一定期間だけ）ワンタイムパスワードを使えるようにするオプションも提供されている。

　また、VPNへのアクセス時の認証だけでなく、Windowsのログオン認証にも同時に使用できるものがより良いだろう。これにより、PC盗難・紛失時に情報へ簡単にたどり着くことができなくなる。後述するHDDの暗号化対策と併せて検討したい。

　認証強化には、パスワードを複数回間違えるとアカウントをロックすることも有効だ。ただし、正規の使用者が間違えることもあり得るため、ロック解除のための運用も必要となってくる。平日はともかく深夜や休日まで社内IT部門がロック解除などの運用を行うのは現実的でないため、ベンダーのロック解除サービスなどがあるかなども視野に入れておこう。

モバイルアクセスを行う端末について

　モバイルアクセス利用時の端末については、通常のノートPCなどに対策を行う方法と、いわゆるシンクライアントを利用する方法に分かれる。PDAなどの端末は、企業で管理することができず対策が不十分となってしまうため、今回の検討では除外する。

　通常のノートPCなどを使う場合は、現在使用しているPCに対して先に挙げた対策を行う必要があるが、初期コストは少なく、スピーディーに段階的な導入をしていくことができる。

　一方、シンクライアントの場合、クライアントにデータをまったく残さない形であれば最も安全だが、サーバやシンクライアント用のPC（またはサーバソフトウェアとライセンスなど）の初期投資にかなりのコストが掛かってしまう。また、パフォーマンスに関してもサイジングをきちんと行って導入する必要があるため注意したい。

対策ポイント2 「暗号化＋認証強化」

：盗難・紛失対策

　2007年3月に経済産業省の「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」が改正され、高度な暗号化が施されていた場合、「影響を受ける可能性のある本人への連絡」「原因の究明および再発防止策の検討実施の公表」を省略できるように変更された（※2）。

※2：主務大臣への報告（認定個人情報保護団体への報告も可）は必要。

　しかし、この暗号化対策が有効かどうかを証明するためには、きちんとデータが暗号化されているかどうかをログとして管理することが重要になってくる。

　ここで、PCのHDDの機密性について簡単に比較してみる（表2）。まずWindowsのパスワードやBIOSパスワードは比較的簡単に導入できるが、これだけでは対策ができたとはいえず、先述の認証強化と組み合わせる必要がある。さらにコストは掛かってしまうが、問題発生時の運用を考えると、例えばマカフィーの「McAfee Endpoint Encryption」（旧Safeboot）や日立情報システムズの「秘文」など、暗号化を行ったログを管理できる暗号化ソフトウェアでHDDを暗号化しておく方がより安全だ。暗号化ソフトウェアでは、表に挙げたパスワードを忘れた場合に、サーバに保存したパスワードで復旧したりHDD全体を暗号化したりできるものを検討したい（情報漏えい対策については「DLPからスタートする総合的な情報漏えい対策」を参照）。もちろんUSBメモリの暗号化にも対応していることが望ましいが、加えて、後述するPCの操作ログを取得することで使用状況も把握しておきたい。

表2●HDDの機密性に関する比較
対策	Windowsのパスワード	BIOSパスワード	HDDパスワード	暗号化ファイルシステム（EFS）*
内容	ユーザー名とパスワード	パスワードの要求	パスワードの要求	ファイル／フォルダ単位で暗号化
詳細	Windows起動時、ユーザー名、パスワードを入力し、合致すればWindowsを使うことができる	電源投入後、パスワードを入力し、合致すればシステム起動することができる	電源投入後、パスワードを要求し、合致すればHDDの読み取りができる。ほかの機器に取り付けてもパスワードは有効	OSの機能で、特定フォルダを暗号化することができる。許可したユーザーのみ自動的に復号して読み取ることができる
問題点	Windows用クラッキングツールやフロッピー起動などにより、データが読み出される可能性がある	BIOSを初期化したり、HDDを取り外してほかの機器に接続して読み出される可能性がある	非常に強固だが、対応機種に限定されるため、既存資産の活用が難しい。またパスワードを忘れた場合には復旧できない	システムファイルなど一部暗号化できない。暗号化したフォルダにファイルを置く必要があることからセキュリティ強度はユーザーのオペレーションに依存する
* Windows 2000以降

対策ポイント3 「操作ログの取得」

：不正ソフト利用、データ持ち出し対策

　ログ取得という分野では、現在多くの製品がリリースされているが、今回の選定基準は情報漏えい対策であるため、PCの操作ログ取得に特化したものが最適だ。もちろん、機能を絞り込むことでコストを抑えることができる。ただし、これと同時にクライアント環境の運用管理を行いたければ資産管理機能を持った製品、内部統制対策としてセキュリティポリシーを強制したいのであればポリシーを細かく設定・管理できる製品を選ぶとよい。

　ログ管理製品では、ログの取得機能そのものよりも取得したログを見るための管理画面の見やすさや検索性も重要となってくる。ログを細かく取ることができても、データ量が膨大になるため、画面インタフェースが見にくかったり必要な情報を探すのに時間がかかったりしては元も子もない。また、保存するログデータベースの拡張性にも注意しよう。日々蓄積されるデータは、問題発生時に備えてある程度の期間保存しておくことが必要だ。ログを格納するサーバが拡張できるか、冗長化できるかも注意したい。

　このほかにも、取得したログの分析やバックアップなどの運用イメージを想定しておこう。その上で試用版を積極的に利用して、自社での運用を見据えた形でテストを行い、選定するとよい。

ユーザー意識の向上も大切

　以上のようにシステム面で万全の対策を行った上で、運用面ではユーザー教育を徹底する必要がある。情報漏えいの原因の8割は内的要因であり、外的要因に関しては既に多くの企業で、クラッキング防止のファイアウォールやIDS（侵入検知システム）といった基本的なゲートウェイ対策、不審者の出入りを制限するためのセキュリティゲートや警備員の配置などの物理セキュリティ対策を実施しているだろう。しかし、それでも情報漏えいが後を絶たないのは、「自分だけは大丈夫だろう」などといったユーザーのセキュリティ意識が低いことが原因だ。そのため企業はセキュリティポリシーを作成するだけでなく、それが正しく運用されているかを継続的に確認するプロセスが必要だ。

図2●安全なモバイルアクセス環境

　しかし、運用を楽にするためにセキュリティポリシーを厳しくし過ぎてしまうと、今度はユーザーの利便性が損なわれかねない。一般的にセキュリティ強度とユーザーの利便性の関係は二律背反になる傾向があるが、このバランスを高いレベルで実現した上で最適な投資を考慮するには、専門的な知識を有するシステムインテグレーターを活用することも検討したい。

　これまで説明してきたように、情報漏えい対策をしっかりと行った、利便性の高いモバイルアクセス環境を構築することができれば、パンデミック発生時にも在宅勤務や時差通勤によって企業は事業を継続することが可能になる。また、安全なリモートアクセス環境は、自宅からの社内ビデオ会議の参加や遠隔地への出張抑制によるCO2排出削減対策の一環ともなるため、冒頭に挙げた企業が抱える課題を解決すると同時に社会的な責任も果たすことができるのだ。