まずは、内部情報漏えいの傾向について解説する。以下に、ベライゾンジャパンの情報漏えいに関する調査リポート「2014年度データ漏洩/侵害調査報告書」を基に、内部情報漏えいの傾向をまとめた。内部情報漏えいの多くは、企業内で「特権」を有する関係者によって、明確な動機の下にデータが搾取された結果、起きている。

• 主な犯行者：組織犯罪グループ（従業員への贈賄勧誘）、元従業員
• 主な動機：金銭目的、スパイ活動、怨恨
• 主な漏えい経路：LANアクセス、物理的アクセス、リモートアクセス
• 主な不正アクション：特権の不正使用など
• 主な発見方法：顧客問い合わせ、従業員からの報告、監査

　上記を踏まえた上で、従業員が不正を行う可能性に関する調査報告を見てみよう。データベース・セキュリティ・コンソーシアムがまとめた「『DBA 1,000人に聞きました』アンケート調査報告書」によると、特権を持ったデータベース管理者のうち、企業のデータを売却しないとは言い切れないという人が3割以上も存在しているという（図1）。これは、既に日本でも性善説は崩壊したものと考え、対策を講じる必要を示唆している。

図1　「将来、データベースに格納されている情報をこっそり売却するかも知れない。」という質問への回答（出典：データベース・セキュリティ・コンソーシアム「『DBA 1,000人に聞きました』アンケート調査報告書」、n ＝ 1000）

　ベライゾンジャパンの2014年度データ漏洩/侵害調査報告書では、企業から重要なデータが持ち出され、それを発見するまでに数週間から数年のタイムラグが存在するという調査結果も示している（図2）。

図2　内部者による不正使用の発見の時間的経過（出典：ベライゾンジャパン「2014年度データ漏洩/侵害調査報告書」、n ＝ 1017）

「一次被害」より「二次被害」の防止に注力を

　セキュリティインシデントにおいては、「一次被害」「二次被害」という考え方が存在する。一次被害は主にインシデントの発生を意味し、二次被害は一次被害を踏み台にしたインシデントの拡散を意味している。

• 一次被害：ウイルスに感染する、Webサイトが改ざんされる
• 二次被害：ウイルスが拡散する、改ざんサイトによって顧客が被害を受ける

　これを内部情報漏えいに置き換えて考えると、以下のようになる。

• 内部情報漏えいにおける一次被害：企業内部で重要なデータが不正に搾取される
• 内部情報漏えいにおける二次被害：不正に搾取された重要なデータが悪用（売却、詐欺、流用など）される

　上記を踏まえて内部情報漏えい対策を考えると、ウイルス感染やWebサイト改ざんなどとは異なり、一次被害への対策よりも二次被害への対策へ注力するべきだといえる。

　ウイルス感染やWebサイト改ざんは、一次被害から二次被害に及ぶ工程で人の手を介する必要がないので、非常に短い時間で二次被害が発生する可能性が高い。ウイルス感染やWebサイト改ざんでは一次被害への対策が重要となるのはこのためだ。

　一方の内部情報漏えいは、一次被害から二次被害に及ぶ工程で人の手を介する必要がある。そのため、一次被害の早期発見や抑止により、二次被害への発展を阻止できるというわけである。

　企業活動においてデータは非常に重要な役割を担っている。データベースをはじめとするデータ関連のシステムは、ビジネスへの影響を最小化するために柔軟な運用を要求されることが多く、機械的な停止が困難だ。この点からも、機械的に一次被害を防ぐ対策より、不正の早期発見と抑止により二次被害を防ぐ対策が効果的だといえる。

早期発見と抑止力で二次被害を防ぐ

　内部情報漏えいの早期発見と抑止力という観点で、企業がチェックすべきデータセキュリティの主要な項目を以下にまとめた。

• セキュリティリテラシー教育
• クライアントPCセキュリティ（ウイルス対策やデバイス管理など）
• ネットワークセキュリティ（ファイアウォールや侵入検知システム＜IDS＞／侵入防御システム＜IPS＞など）
• 業務フローの整備（作業申請や権限の棚卸や監査）
• データベース／ファイルへの操作ログの取得
• データベース／ファイルへの操作内容の監視
• データベース／ファイルへの不正操作に対するアラート

　内部情報漏えいに関係する不正の早期発見と抑止には、作業申請の監査や操作ログの取得が非常に有効だ。ただし、これらの手段だけで対策を進めようとすると、監査やログの確認の頻度を高くする必要がある。結果として人的コストが増加し、実現が困難になる可能性が高い。従って、内部情報漏えいを防ぐには、重要データへの操作内容の監視や不正操作へのアラートを自動化し、運用する仕組みを検討する必要がある。

　そもそも、企業の重要なデータを漏えいさせないためには、そのデータの所在を明確にする必要がある。本連載の各回でも触れている通り、守るべき対象が不明瞭では効果的な対策が立てられない。

「ファイル共有システム」が内部犯行者の標的に

　内部情報漏えいで狙われる個人情報やクレジットカード情報といった機密情報は、データベースに格納されていることが多い。ただし忘れてはいけないのが、企業が保有するデータの大半はファイルデータとして保存、活用されているという事実だ。

　少々古いデータだが、米IDCが2009年に発表した「2009 File-Based Storage Taxonomy」では、企業が所有するデータの8割がファイルデータであるという統計結果を示している。この状況は、現在でも大きくは変わらないはずだ。企業にとって、ファイルのセキュリティ対策を欠かしてはいけないことが分かるだろう。

　多くの企業は現状、ファイルサーバやストレージ、「Active Directory」などのディレクトリサーバを連係させてファイル共有システムを実現している。日常的に活用するこのファイル共有の仕組みには、隠れたリスクが内包されている。

ファイル共有を保護する「権限付与によるアクセス制御」

　ファイル共有システムのセキュリティ対策には、ファイルの暗号化やアクセスログの取得／リポートなどがある。中でも最も多く利用されているセキュリティ対策は、権限付与によるアクセス制御だ。これはファイル共有システムに多く使用されているプロトコルであるCIFSに準拠して実装されている。

　CIFS準拠のアクセス制御では、ファイルデータが格納されているフォルダへ以下のようなルールを適用する。

• 誰に（who）：どのユーザーやグループに
• どこで（where）：どのフォルダで
• 何を許可するか（What）：どんな操作を許可するか

　企業のセキュリティポリシーや従業員／部署の職責に準じて、このルールをユーザーやグループへ権限を与える形でファイル共有システムに適用している。

「閲覧許可＝複製許可」？　権限付与によるアクセス制御の限界

　あまり知られていないが、既存のファイル共有システムにおいて、ファイルの「閲覧」と「コピー」を区別して制御することはできない。Windowsのファイル共有システムのアクセス制御において、付与できる基本的な操作権限は次の5つである。コピー操作に対する権限を制御する項目は存在しない。

• 変更
• 読み取りと実行
• フォルダの内容の一覧表示
• 読み取り
• 書き込み

　現状では、ユーザーやグループに対してファイルを閲覧させるために「読み取り」操作権限を付与した段階で、ファイルの複製を許可したも同然だ。こうした状況を知りながら、ファイルへの操作を監視／監査していないのは、まさに性善説頼りのセキュリティ対策であり、大きなリスクを生むことになる。

理想的なファイルセキュリティ対策は「ファイル基点」

　権限付与によるアクセス制御を中心とした既存のファイルセキュリティ対策は、ユーザーを基点にファイルやフォルダへ操作権限を与える仕組みだ。今後重要性が高まると考えられるのは、ファイルやフォルダ自体を基点としたセキュリティ対策である。重要なデータが保存されるフォルダやファイルの操作を監視／記録し、不正操作の検知やアラート、遮断をする、といった具合だ。こうした仕組みで権限所有者の行いを常に監視すれば、不正が発生した際に早期発見して対処できるようになる。かつ、この仕組みの存在自体が不正行為の抑止力となり、内部情報漏えいのリスクを低減させるはずだ。

　ファイルやフォルダを基点としたセキュリティ製品には、米Impervaの「Imperva SecureSphere」、米Varonis Systemsの「Varonis DatAdvantage」、網屋の「ALog ConVerter」などがある。ファイル共有システムのリスク対策としては「ファイル操作の監視、記録」と「不正操作の検知、アラート」が必要になるが、製品によってこれらの機能があるかどうか、標準提供されているかどうかに違いがある。

　製品選定の上で注目すべきなのが、導入／運用方式だ。ファイルやフォルダを基点としたセキュリティ製品の主な導入／運用方式には、

• ネットワークへ導入し、リモートアクセスを監視する「ネットワーク型」
• ファイルサーバへ導入し、リモート／ローカルアクセスを監視する「エージェント型」
• ファイルサーバに詳細なログを出力させ、そのログを収集する「ログ収集型」

の3種がある。エージェント型やログ収集型のみを採用している場合、ファイルサーバのリソース消費が避けられないという注意点がある。これらは、ファイルサーバにファイル操作のログ取得や転送処理をさせる仕組みだからだ。ネットワーク型の併用が可能であれば、ファイルサーバのリソース消費を最小化できる。

　将来的には、不正な操作を自動で遮断できる機能も必要となるだろう。ファイル操作の監視、記録や、不正操作の検知、アラートを長期間運用していくと、正しい操作と不正な操作を区別する条件が見えてくる。その条件を用いて、ビジネスへ影響を及ぼさない範囲で一次被害の防止を実現していくべきだ。

　ファイル共有システムは、どの企業にとってもビジネスを継続していく上で欠かせないシステムだ。ただし、セキュリティ視点でシステムを見直すと、大きなリスクを内包したままで日々運用されているのが現実だ。ぜひこの機会に、身近なファイル共有システムのセキュリティを見直してほしい。