偶発的な攻撃の始点となる不注意なインサイダーは、誠実かつ熱心に業務をこなしていると信じられており、雇用主を脅かすことはない。ただし第三者によってだまされるか、操作されることによって、その第三者が企業に危害を及ぼすことに加担している。

　攻撃について検討するとき、企業にとって最大の問題は外部からの攻撃で、そこに精力の大半を傾けるべきだと多くの人は考えている。だが攻撃元と被害の原因は区別することが肝要だ。攻撃元の大半が外部にあることは間違いないが、被害の原因は不注意なインサイダーにあることほとんどである。

　攻撃者は、サーバに直接侵入するのは困難だと考え、外部から企業に危害を加える。インサイダーを標的にして、ソーシャルエンジニアリング攻撃でだまして添付ファイルを開かせたり、リンクをクリックさせ、そのユーザーのシステムを攻撃の始点として利用する方が、サーバへの直接侵入よりもはるかに簡単なのだ。

「意識向上」は特効薬ではない

　企業がインサイダーの脅威から自分たちを適切に守るためには、どうしたらよいのだろうか。ほとんどの企業は、インサイダーによる偶発的な攻撃を最小限に抑えるには、セキュリティ意識のさらなる向上が必要だと考えている。つまり、従業員に攻撃の危険性について理解を深めてもらうことだ。筆者は従業員の意識を向上することに大賛成だが、全ての問題を解決する万能薬は存在しないことを企業は覚えておくべきだろう。

　意識向上は、受け取ったメールや情報に明らかな間違いがある基本的な攻撃に対しては有効である。だが、高度なスキルを持つ攻撃者や精巧なフィッシング攻撃で受け取る情報は、本物と変わらないように見える。それが、こうした攻撃の成功率が高い理由であり、意識向上を図っても効果はない。高度な攻撃に対応するには、別の対策が必要になる。

インサイダーの偶発的攻撃に備える4つの対策

　インサイダーの脅威は、メールの添付ファイルやWebサイトのリンクに潜んでいることが多い。システムに危害を及ぼし、システムを危険にさらそうと狙っている。以下、インサイダーによる偶発的な攻撃の被害を最小限に食い止めるために、企業が実施できる4つの対策を紹介する。

アプリケーションの制御

　クライアントPCにおいて潜在的に最も有害なアプリケーションは、Webブラウザとメールクライアントの2つだ。これらはマルウェアの侵入ポイントになることが多い。これらのアプリケーションの機能を段階的に制限することは可能だ。ただし、機能を制御すると、重要な業務の遂行に必要な正当な機能への影響は避けられない。

　取り得る解決策の1つは、分離された仮想マシン（VM）で危険なアプリケーションを実行するというものだ。アプリケーションを起動すると、必ず分離されたVMで実行されるようにする。悪意のあるアプリケーションを実行しても、その影響範囲はVMに制限され、ホストOSに危害が及ぶことはない。

　アプリケーションを終了するとVMも終了するので、あらゆる有害なアクティビティを抑制できる。システムがマルウェアに感染する期間はほんのわずかで、その範囲も制御された環境に限定されるので、長い目で見た場合の影響は最小限に抑えられる。攻撃者が危害を加える可能性を大幅に低下させつつ、ユーザーへの影響はないというメリットもある。

悪質なコンテンツのフィルタリング

　インサイダーを危険にさらすアクティビティで主に使用されるのは、実行可能な添付ファイル、「Microsoft Office」ドキュメントのマクロ、コンテンツに埋め込まれたHTMLである。ほとんどの企業では、このようなインターネットを起点としたアクティビティを許可する必要はない。そのため、最小権限の原則に従って、そのアクティビティが必要でなければブロックするのがよいだろう。有害なアクティビティのごく一部を戦略的にブロックするだけで、攻撃者から受ける被害を最小限に抑える上で、プラスの効果が期待できる。

実行可能コンテンツの制限

　特定の種類のファイルを全てブロックするのは効果的な対策である。だがユーザーがこうしたファイルを使用する必要がある場合は、必ずしも現実的な対策になるとは限らない。その場合の代替策としては、正当なアクティビティを許可しつつ、特定のアクティビティをサンドボックス（実環境に影響を与えない仮想的な実行環境）で検証したり、フィルタリングで制限したりすることが挙げられる。

　市場には、添付ファイルを取得してコンテンツを分析し、サンドボックスの中でコンテンツを実行して動作を検証できる効果的なテクノロジーが存在する。悪意のあるコンテンツはブロックされ、正規のコンテンツにはアクセスが許可される。このテクノロジーを使用すると、企業はより柔軟にコンテンツをフィルタリングしつつ、事業への影響を軽減できる。

実行可能ファイルの制御

　不注意なインサイダーを始点とする攻撃には、お決まりの発生パターンがある。それは、だまされたユーザー本人は正規のものだと考えるが、実際には悪意のあるコンテンツを含む実行可能ファイルを実行させられている、というものだ。アプリケーションのホワイトリストなどのテクノロジーを使用して、実行可能ファイルを制御および検証すれば、システムに悪意のあるコンテンツが侵入する可能性を最小限に抑えることができる。

まとめ

　偶発的なインサイダーの脅威を理解する上で最も重要なのは、特権アクセス権限を持つ悪意のない従業員やパートナーなどが、企業にとって最大の脅威となる可能性があることだ。その理由は単純で、平均的な人は操作されやすいからである。この点はどれだけ強調しても足りないだろう。だが悪いことばかりではない。インサイダーの脅威に起因する被害の最大要因が不注意なインサイダーであることを企業が理解すれば、このリスクが企業に与える影響を制御して最小限に抑える手段を講じることは可能である。