セキュリティポリシーで人間はコントロールできない

WikiLeaksに学ぶ、組織内部の人間を信用してはいけない理由

インサイダーが絡む公的情報の流出原因で最も懸念すべきは、不注意による露呈ではなく、組織のシステム管理者やIT幹部が悪意を持った行動に走ることだ。

公開 2011年07月01日 09時00分

更新 2012年09月04日 15時12分

著者

Richard W. Walker

[TechTarget]

印刷する

　「人間に当てるパッチは存在しない」――。このフレーズは、ワシントンD.C.で開かれたWikiLeaksのインサイダーリスクに関するシンポジウムで語られた。これは冗談ではない。組織内部のユーザーがもたらす情報セキュリティリスクについて、政府機関の管理者が突き当たる壁をうまく言い当てている。しかもWikiLeaksのケースで浮き彫りになったように、この壁はますます高くなっている。WikiLeaksが特異なケースというわけでもない。インサイダーが絡む公的情報の流出は、民間でも公共機関でも増えている。

　内部の人間の不注意が原因で起きるシステムへの不正侵入（例えば従業員が電子メールを開いてフィッシング詐欺の手口にだまされるなど）も懸念されるが、最大のリスクをもたらすのは悪意を持ったインサイダーだ。つまり組織のサイバーセキュリティ管理者は、この脅威と積極的に戦う方向へと対策をシフトしなければならない。

　昨今特に懸念されるのは、信頼されている人間が「道を誤る」こと、例えばシステム管理者やIT幹部が悪意を持った行動に走ることだ。

　「重大な鍵を握る人物はたくさんいる」と米国土安全保障省のセキュリティ専門家は指摘する。「大企業の管理者なら、ネットワーク全体をかぎ回ることができる。特に管理型サービスへの移行が進む中、これは誰もが突き当たる障壁だ。自社のシステムを管理しているのが誰なのか、もはや分からなくなった」

　米Xceediumのケン・アモンCSO（最高戦略責任者）も、システムのかつてない大規模化、高度化、複雑化によって内部の脅威が増幅されたとの見方で一致する。「15年前を振り返ると、権限を持つと見なされるユーザー、つまりインフラ内部のどのプラットフォームやどの情報にでもアクセスできるユーザーは、もっと少数のグループだった。こうしたユーザーは信頼の置ける社員、あるいは何社も渡り歩くのではなく会社に長くいる社員であることが多かった。それから15年がたち、システムの運営に必要な人数とリソース、高い権利や権限を与えられるユーザーの数は激増した」

　クラウドコンピューティングの到来によってインサイダーの脅威はさらに拡大し、インサイダーとアウトサイダーの境界も曖昧になった。「ベンダーや請負業者にまで広がり、自社のコントロールが及ばなくなった。このインサイダーとアウトサイダーの問題によってセキュリティの境界が発達し、浸食されている」とアモン氏は言う。

リスク回避

　インサイダーの脅威が高まってきたことに伴い、対策の重点はセキュリティポリシーとユーザー研修（悪意のあるインサイダー対策にはほとんど役立ちそうにない）から、リスク回避のための技術やツールへと移っている。米上院国土安全保障・政府活動委員会で「WikiLeaks時代の情報共有」について証言した米国家情報長官局の情報共有担当幹部コリン・ストーン氏は、政府が包括的なインサイダー脅威対策を確立しなければならないと述べ、テクノロジーはその根幹になると指摘した。

　同氏によると、諜報機関の戦略には以下3つの関連する要素が含まれる。

担当者が職務に必要なネットワークと情報に確実にアクセスできるようにする一方、不必要な情報にはアクセスできないようにする
データの悪用、操作、移転については、特に大量のデータを扱う場合、機密ネットワークでリムーバブルメディアの利用を無効あるいは禁止にするといった手段によって技術的に制限する
機密コンピュータシステムではユーザーの行動を監査・監視して匿名の行動を洗い出し、それに応じた措置を取る

　「書面のポリシーを当てにできるという考えや、セキュリティをポリシーでコントロールできるという考えは捨ててもらわなければならない」とアモン氏は言い、「見方を変えて、テクノロジーを導入する必要がある。相手がポリシーに従ってくれると信じられる時代は終わった。技術的なコントロールを確立しなければならない」と指摘した。

印刷する