持ち帰り残業のせいで情報セキュリティ事故？　働き方改革に必須の情報漏えい対策（2/2 ページ）

公開 2017年05月31日 09時00分

更新 2018年07月20日 14時41分

著者

那須慎二

[船井総合研究所]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

プライベート利用のWebサービスから情報漏えいが発生しやすいケース

　前述の事例は、自宅の私物PCがウイルス感染して情報漏えいを起こしたケースでした。この他にも、IDとパスワードをさまざまなWebサービスで使いまわしていたり、容易に推測できるようなパスワードにしたりしていたために、サイバー攻撃者にパスワードを破られ、情報流出を起こすケースもあります。

　特に次のような使い方をしていると、情報漏えいが起きるリスクがあります。従業員がプライベートでこのようなWebサービスの使い方をしていないかどうか、ぜひ社内でチェックしてみてください。

SNS（Facebookなど）の個人アカウントに重要データを添付して蓄積
オンラインストレージ型のメモツール（Evernoteなど）に機密情報を蓄積
大容量ファイル転送サービスを使って業務データを社外に送信
無料のオンラインストレージに重要情報を蓄積
顧客との業務上のやりとりで、無料のオンラインフォーラム／メーリングリストサービス（「Googleグループ」など）を利用

シャドーITからの情報漏えいを防ぐ方法

URLフィルタリングで閲覧制限したいWebサイトを事前登録

　プライベート利用のWebサービス経由による情報漏えいを防ぐためには、URLフィルタリングを活用するのが効果的です。URLフィルタリングは基本的には、業務上ふさわしくないWebサイト（アダルト、ギャンブル、ドラッグ、暴力サイトなど）への閲覧を制限（禁止）にする仕組みです。URLフィルタリングの方式として、代表的なものは次の3つです。

ホワイトリスト方式
- アクセスが許可されたWebサイト以外の閲覧ができない
ブラックリスト方式
- アクセス禁止にするWebサイトのURLをあらかじめ登録しておき、登録されたWebサイトは閲覧できない
カテゴリー方式
- 事前に登録されているWebサイトカテゴリー（アダルト、ギャンブル、暴力など）をデータベース化して登録しておき、カテゴリー登録されたWebサイトは閲覧できない

　閲覧を制限したいWebサービスをブラックリストとしてあらかじめ登録するといった対策によって、クラウドサービスやWebサイトへの訪問をブロックできるようになります。こうすることで、従業員に訪問させたくないWebサイトへのアクセスを一括禁止することが可能になります。

図1　URLフィルタリングの仕組み《クリックで拡大》

アプリケーションコントロールで、同期型のオンラインストレージを制限

　しかし懸念点もあります。リストの登録方法によっては、利用したいサービスも使えなくなる場合があるのです。例えばYahoo!のニュース記事は見たいが、Yahoo!メールは使わせたくないと考えていても、登録の方法を誤ると、全てのYahoo!関連サービスへのアクセスができなくなるといったことが起こります。

　PCにインストールしたアプリケーションがクラウドとデータ連動しているサービス（DropboxやEvernoteなど）の場合は、Webサイトへのアクセスを禁止するだけでは情報流出を防げない可能性もあります。

　この場合の対策としては「アプリケーションコントロール」が有効です。アプリケーションコントロールは、Webサービスや、Webサービスと連動しているPCのアプリケーションを制御し、使用可否をコントロールできる機能です。

　URLフィルタリングでは、WebサイトのURLごとにアクセス可否の判断をするのに対し、アプリケーションコントロールでは、PCとWebサービスのアプリケーションごとの通信までチェック機能が働くので、より精密な情報制御ができます。例えば次のようなことが可能になります。

クラウドサービスとPCでデータが連動しているサービス（DropboxやEvernoteなど）へのデータアップロードを禁止できる
ポータルサイトのニュース閲覧は許可しても、同ドメインのWebメールやオンラインストレージの利用は禁止する、といった細かい制御ができる
SNSの利用方法を細かく制御できる。例えばFacebookの閲覧は可能だが、データのアップロードを禁止にする、といったことができる

図2　アプリケーションコントロールの仕組み《クリックで拡大》

　URLフィルタリングとアプリケーションコントロールの両方を使い分けることによって、インターネットの利便性を保ちつつ、セキュリティ対策の強化も図ることができるようになります。

まとめ：セキュリティ担当者は、こんなふうに上司を説得しよう

「働き方改革」に重要な業務効率化を進めるに当たり、WebサイトやWebサービスの利用実態を把握するのは、限られた時間内で効率よく業務が遂行できているかを確認するために有効な手段の1つ
Webサイトの利用に何の制限も掛けないまま従業員が利用していると、セキュリティ上の脆弱性を作ることになり、情報漏えいなどの問題に発展する恐れがある
URLフィルタリングとアプリケーションコントロールを併用することで、プライベートで利用しているWebサービスの利用を制限することができ、セキュリティリスクを軽減できる

那須慎二（なす・しんじ）

大手情報機器メーカーを経て船井総合研究所に入社。ネットワークセキュリティの安全対策と解決策に詳しい。「日本一分かりやすいセキュリティ」をモットーに、中小企業を対象にしたサイバーセキュリティ問題や、対策に関する啓発活動を実施。実際に、全国の地域各社で年間100回以上開催する講演は「今まで聞いた中で一番分かりやすい！」と好評を得ている。著書「小さな会社のIT担当者のためのセキュリティの常識」（ソシム）がある。

参考リンク

「小さな会社のIT担当者のためのセキュリティの常識」（Amazon.co.jp）

印刷する

事例で分かる、中堅・中小企業のセキュリティ対策

情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

那須慎二

持ち帰り残業のせいで情報セキュリティ事故？　働き方改革に必須の情報漏えい対策（2/2 ページ）

プライベート利用のWebサービスから情報漏えいが発生しやすいケース