事例で分かる、中堅・中小企業のセキュリティ対策【第5回】

「退職者に機密情報を持ち出された」ともめる前に打つべき内部不正対策（2/2 ページ）

公開 2016年10月24日 09時00分

著者

那須慎二

[船井総合研究所]

印刷する連載新着通知を受け取る

不正のトライアングル

　「不正のトライアングル」という言葉を知っていますか。これは、人が不正行為をする際の3つの要素をまとめたものです。それは「動機」「機会」「正当化」です。

　例えば今回のケースでは、退職した営業社員は会社の求める方針が合わなくなり、自分の居場所がなくなってきたため、競合他社に転職して自分の居場所を確保しようという「動機」が存在しています。

　孤立してしまった元営業社員に誰も声をかけることなく、1人で残業して情報入手できる「機会」があります。

　そして、新しい会社に移った時に、早く手柄を立てたいがために「バレなければいいだろう」との思いがあり、自分の行為が犯罪につながる可能性があることを知らずに自分の行為を「正当化」してしまいました。

　情報システム担当者としては、このような問題を起こさないように、会社としての質的向上を図る努力をしながら、内部不正を起こさないような仕組みを整えることが重要になります。

統合資産管理システムが内部不正防止に有効

　おすすめの方法は統合資産管理システムを活用することです。統合資産管理とは、会社の情報漏えい対策やIT資産管理、ログ管理、IT資産の運用などを一括（統合）してできるシステムのことです。

　情報漏えい対策管理機能では、クライアントPC内のファイルやデータなどを、いつ、誰が、何を、どのように扱ったのかを管理することができます。

　例えば、

表計算ソフトに保存された顧客情報を佐藤さんが利用し、修正した
サーバに保存されていた重要情報Aを鈴木さんが自分のPCに保存した
経営者以外アクセス禁止にしていたフォルダに、斉藤さんがアクセスしようとして弾かれた

といったセキュリティ情報を管理することができます。また、

許可されたUSBメモリ以外での情報の抜き取りを禁止にする
会社として決めた情報セキュリティのルール（セキュリティポリシー）を全てのPCに配布する

といった情報資産の制御ができるようになるので、情報漏えいのリスクを低減できます。

　IT資産管理機能では、システムを構成しているPCやサーバなどのハードウェア、オフィススイート製品などインストールされているソフトウェアの情報資産を台帳化して一括管理します。台数が増えれば増えるほど煩雑になるPCの棚卸し資産や、ソフトウェアのライセンスなどが一元管理できます。支店のPCなどの遠隔地にある資産も管理できるので、運用が非常に楽になります。

　レポート機能として有用なのが「ログ管理」です。重要情報や機密情報などをいつ、誰が、どのように扱ったのかが見えるようになります。そのため前述の事例のように、情報流出が起こった際に内部犯行者を特定でき、それを証拠として追及できます。

　また「会社として証拠を押さえている」という事実を社員に周知することによって「自分がやりとりしていることを見られている」という認識が高まり、情報流出の抑止効果につながったり、不審な行動を抑えることにつながったりします。不正のトライアングルの「機会」をつぶす役割を果たします。

　このように、統合資産管理システムにはさまざまな機能が統合的に付加されています。一般的な機能は表の通りです。

表　統合資産管理の機能例
	機能	役割
IT資産管理	ハードウェア資産管理	PCやサーバ、周辺機器などの資産を一元管理
	ソフトウェア資産管理	導入ソフトウェアや、ソフトウェアライセンスを一元管理
	ネットワーク機器監視・検知	ルーターやネットワークスイッチ、無線LANなどのネットワーク機器を一元管理
	リモートコントロール	遠隔地にあるPCやサーバなどを遠隔操作
情報漏えい対策	セキュリティポリシー設定	PCなどに割り当てるセキュリティポリシーを一元管理
	ポリシーの一括配布	設定したセキュリティポリシーを一括配布
	操作ログ管理	PCやサーバなどの操作ログを一元管理
	Webアクセス管理	Webサイトへのアクセス履歴などを一元管理
	外部デバイス制御・監視	USBメモリや外付けHDDなどの外部デバイスの制御・監視
	送受信メール監視	PCなどで送受信するメールの履歴管理・監視
	ファイルアクセス監視	ファイルへのアクセス状況や変更・追加情報などの監視
	共有フォルダ監視	共有フォルダへのアクセス状況や変更・追加情報などの監視
	サーバ監視	サーバへのアクセス状況、変更、追加情報などの監視
	不正PC遮断	登録されていないPCがLANに入れないように遮断
	印刷監視	プリンタなどへの印刷状況を監視
レポート	ログ検索、解析、レポート作成	アクセスログや操作ログを解析、レポートとして可視化
	PC管理サマリー表示	資産管理状況を一元化し、分かりやすく表示
	ファイル追跡	機密情報や重要情報などのファイルの追跡

情報漏えいが起きた後だったら、デジタルフォレンジックツールが有効

　統合資産管理システムを導入、活用することで、内部情報の流出防止や、抑止効果が期待できます。一方で、このような仕組みを活用していない状態で情報流出が起こってしまった場合はどうすればいいのでしょうか。

　そのような場合はデジタルフォレンジックツールを活用します。「デジタルフォレンジック」とは、PCやサーバ、スマートフォン、ネットワーク機器などのデジタルデバイスに残っている記録を分析し、証拠となるデータを抽出する試みのことです。「デジタル鑑識」とも言います。サイバー犯罪者が逮捕されるときに、警察は犯罪者のPCを押収しますが、そのときに警察が実施している内容がこれに当たります。

　デジタルフォレンジックツールを使うことにより、インターネットの閲覧履歴やメールのやりとり、重要情報の利用履歴などを解析した上で「デジタルの証拠」を抽出して、情報漏えいを起こした可能性のある退職者の行動を追跡することができます。デジタルフォレンジックで抽出した鑑識情報は、裁判の証拠として提出することも可能です。

　以上のように、統合資産管理システムやデジタルフォレンジックツールを使うことが内部不正による情報漏えい防止に役立つでしょう。

まとめ：セキュリティ担当者は、こんなふうに上司を説得しよう

内部からの情報流出を防ぐためには、社員満足度を高めるなど「会社内部の質的向上」が必要不可欠と考えよう
不正のトライアングル「動機」「機会」「正当化」が起こらない仕組みを整えよう
統合資産管理システムを活用して、「いつ」「誰が」「何を」「どのように」情報を扱ったか可視化するだけでなく、取り組みを周知することで漏えい防止、抑止につなげよう
デジタルフォレンジックツールを活用すると、情報漏えい発生後にも行動の追跡が可能となることを知ろう

那須慎二（なす・しんじ）

大手情報機器メーカーを経て船井総合研究所に入社。ネットワークセキュリティの安全対策と解決策に詳しい。「日本一分かりやすいセキュリティ」をモットーに、中小企業を対象にしたサイバーセキュリティ問題や、対策に関する啓発活動を実施。実際に、全国の地域各社で年間100回以上開催する講演は「今まで聞いた中で一番分かりやすい！」と好評を得ている。著書「小さな会社のIT担当者のためのセキュリティの常識」（ソシム）がある。

参考リンク

「小さな会社のIT担当者のためのセキュリティの常識」（Amazon.co.jp）

印刷する

事例で分かる、中堅・中小企業のセキュリティ対策

情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。

連載新着通知を受け取る

この連載の記事をもっと見る