事例に見る脅威

　この事例にはどのような脅威や問題が存在するのか、幾つか挙げてみよう。

メールの誤送信など操作ミス・うっかりミスによる情報漏えい

　上記のK太の例は少し極端かもしれないが、JNSA（日本ネットワークセキュリティ協会）の調査によると、情報漏えいの7割以上が管理ミスや操作ミスなどの故意ではない原因から起こっている。図1の赤枠部分をご覧いただきたい。メールの誤送信や情報が管理されていないこと、さらには紛失・置き忘れといった偶発的なミスによる情報漏えいが大部分を占めることが分かるだろう。内部犯罪や内部不正行為による情報漏えいは「情報を盗み出し、金銭などに換金すること」が主な目的なので、漏えいした際のデータが何十万件と非常に多くなることが特徴だ。しかし、情報漏えい件数の割合で見るとわずか1.4％にすぎず、情報漏えいの原因を考える上では、「操作ミス」や「うっかりミス」といった偶発的な要素へ目を向けることが重要なポイントとなる（内部犯罪による情報漏えい対策を考える必要がないというわけではなく、ここでは割合を述べているにすぎないことをご理解いただきたい）。

図1　情報漏えいの原因（出典：JNSA「2008年 情報セキュリティインシデントに関する調査報告書」）

　K太のように、社内のみで活用すべき情報を間違えて顧客へ送付してしまったケースに心当たりのある方は多いのではないだろうか？　操作ミスやうっかりミスなどからの情報漏えいは表面化しないこともあるが、気付かないうちに漏えいが起こっていたというケースは多い。

暗号化対策が社員の手で行われている

　トレンドマイクロの調査によると、暗号化を導入している企業は4割程度と半数近くが導入している（図2）。しかし、暗号化ソフトによっては社員が手動で1つひとつ暗号化の処理をしなければならないものがある。あまり口にはしないものの、仕事をする上で「面倒くさいな」と思うことが多いのではないだろうか？　暗号化ソフトのアイコンにドラックするだけで暗号化できるといった製品もあるが、K太のようなITに詳しくない社員は暗号化ソフトと圧縮ソフトを間違えることもあるかもしれない。少々こじつけのように聞こえるかもしれないが、社員が意図的に暗号化処理を行わなければならないという運用に問題点があるのだ。

図2　企業が導入している情報漏えい対策製品（2009年5月　トレンドマイクロ調べ）

　また図2の調査では、ログ監査ツールなどは53.6％と半数以上の企業が導入している。ただし、ログの保存は社員の不正持ち出し抑止や、事件後の原因を突き止める際に重要になるものの、先述した操作ミスやうっかりミスによる情報漏えいにはあまり意味を成さないといえる。

情報の重要性が分からない

　K太とJ子の会話にもあったが、あなたは何が守るべき情報で、何が守る必要のない情報かを瞬時に判断できるだろうか。例えば、名前や電話番号、住所といったような個人を特定することのできる情報であれば、少なからず注意を払うだろう。しかし、ニックネームやメールアドレス、生年月日などの情報が個人情報に該当するかどうかすぐに判断できるだろうか（この点についてここでは詳しく説明しないが、個人情報保護のガイドラインを参照いただきたい）。

　個人情報のほかにも、会社には決算データや製品の戦略プランをまとめた報告書など、外部へ流出した場合、ビジネスチャンスが失われることになるような情報は数多く存在する。法務や広報の人間であれば判断できるかもしれないが、一般の社員が即座に判断することは非常に難しい。

中堅企業に必要な、情報をシステム的に判断する仕組み

　こうした脅威や課題には、具体的にどのような対策が必要だろうか？　1つのポイントとして、このC社は「暗号化」製品を既に導入している。暗号化は情報漏えい対策に有効な手段といえる。しかし、実運用の際に問題が浮上するケースが非常に多い。K太の発言にもあるように、そもそもどの情報を暗号化すべきかが社員には判断しにくいからだ。

　従って、このようなケースにはDLP（Data Loss Prevention）と呼ばれる製品が適しているといえる。DLPは、社外への持ち出しや送付が禁止されているような機密情報を事前に設定し、運用時にはシステム側で自動的に機密情報か否かを判別する。これによって、個々の社員の管理ミス、操作ミス、うっかりミスなどによる情報漏えいを防止することが可能だ。

　従来の情報漏えい対策ソリューションの代表格である暗号化は、機密であるか否かを問わず、すべての情報を第三者が読み取れないようにするものである。また、同じ情報漏えい対策として導入されるログ管理は、すべてのIT機器の操作を記録・監視するものである。それらに対してDLPは、重要な情報が外部に漏れること自体を防ぐための対策ということができる。

　DLPの導入効果を以下に示す。

管理ミス、操作ミス、うっかりミスへの対策が可能

　上述のように、情報漏えい事件の7割は管理ミスや操作ミス、うっかりミスといった偶発的な原因から起こっている。情報漏えい対策を行う上でまず考えなくてはならないのが、この点であることはお分かりだろう。

　通常、データを外部へメールで送信する際の流れは、「メールを書く」→「データを添付する」→「送信する」となる。このとき、送信する情報が企業にとって機密であるかどうかの判断が必要となる。一般的に、ユーザーである社員がその判断をしなくてはならない。ただ、このように社員が情報の“価値”を判断する場合、個人の考えや思い込みに影響され、各人が勝手にルールを作ってしまうことが多い。

　中堅企業に限らず、今求められる対策は、社員によってルールが左右されるのではなく、誰が使っても同じようなルールが適用できるようなものといえる。先ほどのメールによるデータ送信の例に対策を当てはめると、「メールを書く」→「データを添付する（ここでDLPがルールにのっとって判断する）」→「問題がなければメールを送信する」という流れになり、もし機密情報に当たるデータを送信しようとした場合には警告メッセージを出す。このようにDLPでは、社員が情報の“価値”を判断するのではなく、あらかじめ設定したルールに従ってシステムが運用時に自動的に情報の重要性を判別し、その入出力をコントロールすることができる。

機密情報を送信しようとした際に出るメッセージ（画面は「Trend Micro Data Loss Prevention」のもの）

社員に情報の価値を判断させない

　事例のように、暗号化やログ管理のソフトを導入している企業は、中堅企業であっても少なくないだろう。しかし、暗号化ソフトを導入していても、社員それぞれに情報を管理させ、暗号化させていては意味がない。なぜなら、先述のように暗号化をするかしないかの判断はすべて社員が行わなければならないからだ。

コピーしようとすると暗号化処理を求められる（画面は「Trend Micro Data Loss Prevention」のもの）

社員に機密情報を扱っているという気付きを与える

　上記で説明したDLPの2つの効果は、「情報の価値を人の判断に任せず、企業で設定したポリシーに従って自動的に対策を行うこと」とまとめることができる。3つ目の「機密情報を扱っていることを気付かせる」という効果は、これと真逆のようにも考えられるが、そうではない。「社員が判断しなくてもよい＝社員は機密情報だと気付かない」ではないのだ。例えば、あなたが何かの情報をコピーや送信をしようとした際に、「このデータは暗号化が必要です」というメッセージが出れば、「ああ、このデータは機密情報なんだな」と気付くはずだ。つまり情報漏えい対策は、社員がしっかりとした意識を持って情報を扱うことが、最も重要なポイントといえる。

　このようにDLPは、従来の暗号化ではできなかった情報自体の価値を事前に設定したルールにのっとって自動的に判別し、必要であれば暗号化を行う。そして、機密情報などをメールで送付しようとした際に、社員にそれを気付かせることができるようなソリューションといえる。

　今回の事例で必要とされるDLP製品は、大きく分けて「クライアント型」と「ネットワーク型」が存在する。ネットワーク型のDLPでは、ネットワークのトラフィック自体を監視するため、データが流れる際に重要な情報であるか否かといった判別を行う。そのため、メールやインターネットを経由した対策には有効だが、PCからUSBメモリなどへコピーするといった、データの直接のやりとりには対策ができない。一方クライアント型は、メール送付とUSBメモリへのコピーいずれの際にも対策を取ることができる。しかし、クライアントにソフトウェアが常駐するため、PCへの負荷が少なからず掛かる点には注意が必要だ。

　またDLPの導入形態については、ネットワーク型の場合、ゲートウェイに専用のアプライアンスを設置して通信を監視させる。一般的に、機密情報か否かなどのポリシーもそのアプライアンス上で作成する。一方クライアント型では、ルールを設定するためのサーバのほかに、クライアントPCへプログラムモジュールをインストールする必要がある。管理面の違いもあるため、導入前にネットワーク型とクライアント型それぞれの特性を把握し、自社に必要なタイプを検討しよう。

　最後に、本稿のまとめとしてDLP選定のポイントを挙げる。

　5回にわたり、中堅・中小企業における規模ごとの脅威とセキュリティ対策を紹介してきたが、これらはある側面から見たときのセキュリティにすぎないことをご理解いただきたい。例えば情報漏えい対策でいうと、PCの画面を携帯電話に付いているカメラ機能で撮影すれば、いくら暗号化をしてあっても無意味となる。その抜け道をいかにつぶすか、つまりどこまでを製品で対応し、どこまでを社員への教育で対応するか、各ユーザー企業がセキュリティポリシーをしっかりと設定することが最も大切なのだ。