• 適切なセキュリティポリシー
• 教育、トレーニング、認識、補強
• （VPN経由で）ネットワークを伝送中または保管中の機密データの暗号化（保管中のデータには会社／個人所有のデバイスだけでなく、サーバやクラウドにあるデータも含まれる）
• 管理システム（ディレクトリサービスを含む）、ID管理、適切な説明と報告
• ユーザーとデバイスの認証

　多くのIT担当者が考えないようにしている最大の脅威は、問題のある従業員や契約社員だ。彼らはネットワークに対して正当なアクセス権を持ち、一部の情報リソースにもアクセスできる。このようなユーザーが不注意または意図的にセキュリティの問題を引き起こす。最も分かりやすい例は、大きく報道されたエドワード・スノーデン氏の事件だろう。これは、米国家安全保障局（NSA）の上層部が違法と見なす行為によって、NSAのネットワークにアクセス権限のあるユーザーが自身の行動計画を実行に移した事件だ。

　公正を期して言うならば、データに対するアクセスや漏えいという観点では、信頼していて許可のある内部関係者が関与するネットワークの不正行為に対して防衛策を講じるのは難しい。だが、スノーデン氏の事件に関しては、米国で最も重要で経験豊富な情報機関が、上記の「Security 101」の手順を使いこなせてさえいれば防げたのではないかと思わざるを得ない。政治的な問題は切り離して、この事件について考えたい。このような脅威を緩和するために、どのような対策を講じることができただろうか。

　スノーデン氏は、システム管理者という立場を利用して、大量の極秘情報をこっそり持ち出して逃走した。同氏は適切なアクセス権を持っていた。また、厳しい身元調査にも合格していた。それから、機密情報が保存されているコンピュータシステムへのアクセス権もあった。だが、同氏がアクセス権を持っていたデータは、なぜ暗号化されていなかったのだろうか。スノーデン氏は持ち出したファイルの全コンテンツを把握する必要はなかっただろう。スノーデン氏がネットワークの正当なユーザーと認証されている間、NSAの内部セキュリティメカニズムは、境界ネットワークのセキュリティに依存していた。境界ネットワーク内のユーザーは信頼できるという前提の下に全ての処理が行われ、必要最低限という概念は取り入れられていなかった。

　この驚くべき判断の誤りは、どのIT部門でも起こり得るセキュリティのギャップの中で最も深刻な部類に入るだろう。承認されたユーザーのみが機密情報にアクセスできるようにすべきである。また、アクセス権は個人ベースで設定し、その情報を知る必要がある場合にのみ付与すべきである。このようにすれば、盗まれたデータを保持しているユーザーが手に入れられるのは暗号化されたファイルのみになる。暗号化も完璧ではないが、今日の暗号化技術には非常に高い効力がある。

　スノーデン氏の事件から学んだ教訓をまとめたい。ネットワークとネットワーク経由でアクセスできるデータに対する潜在的な内部脅威の影響を最小限に抑えるための幾つかの対策を以下に紹介する。

必要最小限の特権

　機密情報へのアクセスは、身元調査に合格し、その情報を知る必要があるユーザーにのみ付与すべきだ。機密情報は区分化されていなければならない。承認されていないユーザーが機密情報にアクセスしたり、ファイル自体を見られないようにする必要がある。承認されていないユーザーには、個別に権限を設定しなかった場合に、許可があり、信頼されている正当なネットワークユーザーも含まれる。このようなセキュリティは、現在の多くのOSであれば簡単に実装できる。

セキュリティポリシー

　どの情報が機密で、誰がどのような状況で機密情報にアクセスできて、情報が侵害された場合に取るべき措置を明記したポリシーを策定されたい。定期的なセキュリティの強化と複数のスタッフによるネットワークアクティビティの監視は、リスクのさらなる軽減に役立つ。

アクセスの追跡

　適切なデータの暗号化、VPN、認証、管理のシステムを配置されたい。これには、機密情報を追跡して、機密情報に対するアクセスや変更などの操作が行われたときに警告を生成することが含まれる。まずモバイルコンテンツ管理システムを導入するのが良いだろう。モバイルのトレンドは、セキュリティに対する潜在的な脅威と見なされている。その一方で、効果的な情報セキュリティ戦略の導入において重要な要素となり得るのは興味深いことだ。これはモバイルが関連していない場合も同様である。

　完全無欠なセキュリティなどというものは存在しない。だが、内外の脅威に対して優れた防御策を講じることは可能だ。ただし、近道はない。そのために私たちが支払わなければならない代償は継続的な警戒心だ。