いつも人が足を引っ張る――最大のセキュリティリスク“人の行動”をどうする？

情報セキュリティに対する脅威の中でも未来永劫なくならないと予想される脅威が「ヒューマンエラー」だ。本稿では、自分たち人間に対処するための3つのベストプラクティスをセキュリティの専門家が解説する。

公開 2015年09月14日 08時03分

更新 2015年09月14日 09時10分

著者

Niel Nickolaisen

[TechTarget]

印刷する

日本年金機構の情報漏えい事件も人的ミスが原因の1つとされる。画像は日本年金機構のWebサイト《クリックで拡大》

　数カ月前、筆者はあるIT部門責任者向けカンファレンスに参加していた。そのカンファレンスのトピックの1つに「情報セキュリティプロセスとテクノロジー」があった。数人が講演を終えた後、進行役の人が参加者を幾つかのグループに分けた。情報セキュリティに対する脅威についてのディスカッションを円滑に進めるためだ。筆者のグループでは進行役が、まずIT部門責任者の元に届く情報セキュリティのニュースの中で朗報だと思うものをメンバーに尋ねた。同じグループの他のメンバーは、監査を通過したとか、しばらく問題が発生することなくやり過ごせているとか、そういった趣旨のことを答えていた。筆者は恐る恐る手を挙げて、情報セキュリティのニュースでうれしいと思うのは自分以外の誰かが情報漏えいの被害に遭った報せだと発言した。なぜこれが良いニュースなのかを説明しよう。

併せて読みたいお薦め記事

人的エラーとどう向き合うか

セキュリティの新潮流

セキュリティ人材に求められる条件

　まず、被害者は自分ではないからだ。そして、2つ目の理由は、他人が被害者である限り、情報漏えいが大々的に報道された後には自社の情報セキュリティに投資する資金を得られる可能性が高まるからだ。

　情報セキュリティに関する脅威、反響、テクノロジーは絶えず変化している。この状況は未来永劫変わらないだろう。

　情報セキュリティに対する脅威と、それに対抗するためのプロセスやツールは全て大きな変化を遂げてきた。だが、変わることなく、絶えず続くリスクとして残っている領域がある。それは人間の行動だ。人間が適切な行動をとるようにする確実な方法を編み出すことはできていない。だが、IT部門の責任者が報道陣の前に立たざるを得ない機会を減らすためにできることは幾つかある。

ヒューマンエラーを減らす3つの情報セキュリティプロセス

　次の事項を実施することで、大きな違いが生じる。

1．データへのアクセスを分類して制限

　一部の種類のデータは他の種類のデータに比べて機密性が高い。企業内の全データを保護する方法を考えることは不可能かもしれない。だが、機密データが企業内データのほんの一部または重要なデータである場合、物事はもっと簡単になる。筆者は、データをさまざまな区分に分類するための基準を定義する作業が好きである。財務データが機密であることは明らかで、顧客の個人情報が機密であるのも同様だ。ただし、ほとんどのデータは厳重な保護に値しない可能性がある。

　企業内データを分類したら、次は機密データへのアクセスが本当に必要なユーザーを特定されたい。機密データにアクセスできるユーザーは、できるだけ少ない方が良い。「情報適格性」の基準を情報セキュリティプロセスに取り込むことが必要だ。こうなるとデータに関する役割とアクセス許可を定義する必要が生じるため、データに対するアクセス制限は面倒なものになる可能性がある。また、定期的な更新も必要だ。更新の対象となるのは、「データの分類」「データに関する役割とアクセス許可」「そうした役割とアクセス許可を必要とするユーザー」だ。どれも面倒な作業だが、その手間に見合う価値は十分にある。

2．機密データへのアクセス制限とアクセス記録

　機密データへのアクセス制限に加え、データへのアクセスを記録するプロセスとツールの実装が必要になる。これらを実装すると、汎用（はんよう）ユーザーアカウントを排除しなければならなくなる可能性がある。特に管理者アカウントは利用不可能にしなければならないだろう。定期的なアクセス調査の一環として、誰がどのデータにアクセスしているかを調査し、そのアクセスが適切であるかを確認しなければならない。アクセスログを確認することでアクセスルールを改善することもできる。だが、一部のシステムには、汎用の管理者アカウントを回避する方法が全くない。そのため誰がどのデータにアクセスしたかを明らかにするという目的は達成不可能だ。この問題を回避できるのが、キー管理システムだ。管理者はキー管理システムでキーをチェックアウトして、汎用の管理者アカウントを使用する。一般的に、企業の機密データに誰がアクセスしているのかを知る必要がある。

3．機密データの受け渡し方法の確認

　顧客や財政関連の機密データを社内で受け渡しする方法についても確認が必要だ。このような機密データは、その都度異なる方法でやりとりされ、思慮が足りない方法でやりとりされることはあまりに多い。顧客の請求書に関する質問を受けると、その返答として請求書の詳細を記載したメールを送信している。だが、こうした情報は決してメールで送るべきではない。筆者は顧客サービスを担当するチームと資金の受け取りを担当するチームの元でしばらく時間を過ごしたが、この取り組みは参考になった。目的は、各チームがチーム内や他の部署とどのように情報をやりとりしているのかをひたすら観察することだった。そして、その方法に問題がある場合は、情報のやりとりについてもっとセキュリティが強化されたアプローチを実行すれば良い。

　セキュリティツールを開発および改良する開発者が、全ての問題を把握し、既知／未知を問わず情報セキュリティに対するあらゆる脅威に対抗できる包括的なツールを考案できるのが理想だろう。ただし、「ナイジェリアの手紙」詐欺にだまされる人が依然として存在するのが実情だ。このような人がいる限り、セキュリティ方針の一貫として、人間の行動を補うための情報セキュリティプロセスが欠かせないのである。

印刷する