情報漏えい対策の具体例

　ここまで、情報が漏えいしてしまう幾つかの行動例を述べたが、それらを防止するためにどのようなソリューションがあるのかを、特に以下の3つの目的に則して説明する。

1. 機密情報を持ち出させないようにする
2. 情報を持ち出されても読むことができないようにする
3. 情報流出の経路となるものを持ち込ませないようにする

1. 機密情報を持ち出させないようにする

　社員が機密情報を社外に持ち出すことを防ぐためのソリューションとして、最近よく耳にするキーワードが「DLP」である。このDLPは「データ漏えい防止」の意味であり、「Data Leakage Prevention」または「Data Loss Prevention」とも表記され、今まで取られてきた情報漏えい対策とは性格が異なるものである。

　従来の情報漏えい対策であれば、例えば「USBメモリの使用を禁止する」という方法があり、それを実現するために何らかのソフトウェアをPCにインストールしてデバイス利用のコントロールを行ってきた。この方法だと、例えば機密情報ではないファイルなどのやりとりにもUSBメモリを使うことができない。そのため、せっかくのUSBメモリの利便性を活用することができない場面も見られた。つまり「便利さを犠牲にしてセキュリティを高める」という対策の一例でもあったわけだ。

　しかし最近登場したソリューションであるDLPは、そうした利便性を損なわず、機密情報だけを判別して漏えいを防止することができる。この“機密情報だけを判別する”ために、ファイルのフィンガープリント（指紋）を取り、それをデータベース化してファイルの流出を防ぐといった手法を取っている。

　一般的なDLPの利用方法は図2の通りである。

図2●DLPの利用の流れ《クリックで拡大》

　DLPを導入すれば、例えば機密情報のデータファイルの一部だけをUSBメモリにコピーして持ち出そうとするのも制御することができ、利便性を損なわずに情報の流出を防げるようになる。現在DLPは、セキュリティベンダー各社が注力している製品の1つであるので、ぜひ関連製品情報をチェックしていただきたい（特集記事「DLPからスタートする総合的な情報漏えい対策」を参照）。

2. 情報を持ち出されても読むことができないようにする

　DLPでは、機密情報が持ち出されるのを防ぐことが可能であると述べたが、業務上の必要に迫られ、機密情報のファイルを例えばメールで誰かに送らなければならないケースも当然あるだろう。その場合やはり一番気になるのが、メールの本文や添付したファイル内の機密情報が第三者に閲覧されてしまう、いわゆる「盗聴」や、第三者が社員を装う「なりすまし」である。

　そこで一番有効なのがメールの暗号化ではあるが、それ自体は特に目新しい技術やソリューションではない。例えばS/MIME（Secure/Multipurpose Internet Mail Extensions）などは、現在最も一般的に普及しているメール暗号化の手段だろう。

　ちなみに、メールの暗号化を用いることにより、メール本文や添付したファイルの暗号化を行うことはもちろん、送受信者の身元証明もできることを基本的な知識として押さえておきたい。最近では、より簡単に利用・管理できるものや、メールを送受信するユーザーがことさらメールの暗号化を意識しなくてもいい製品が登場している。

　メールを暗号化する製品は、以下の2つのタイプに分けられる。

• メールサーバ側で行うゲートウェイタイプのもの
• PCのメールソフト上にて行うタイプのもの

　ゲートウェイタイプは、メールを実際に送受信するユーザーが意識しなくても、メールサーバ側にインストール・設置されたメール暗号化サーバにおいて自動的に暗号化／復号を行う。PCのメールソフト上で暗号化するものは、一般的にはメールソフトにアドオン機能としてインストールし、送信者がメールを送信する際、暗号化して送るか暗号化をしないで送るかを選択することになる。

　ただしいずれも、メールを受信するユーザーがメールを復号する方法を用意していない場合にどうすべきかを検討しなければならない。同じメール暗号化システムを導入している社内のユーザー同士のメールのやりとりであれば問題はないが、メール暗号化システムを導入していない社外の受信者への送信時などは、特に注意が必要である。

　各ベンダーも、そのような場合の対処機能や管理機能の充実を図った製品を提供しているが、導入を検討する際は上記の点を詳しく確認していただきたい。

3. 情報流出の経路となるものを持ち込ませないようにする

　これは、一般的には「検疫ネットワーク」というソリューションで、数年前から提供されてきたものだ（特集「転換期迎える検疫ネットワーク」を参照）。かつて検疫ネットワークを構築する上で、

• 社内のすべてのPCが接続されるLANスイッチを統一する必要がある
• クライアントPCに検疫ネットワーク専用のエージェントソフトをインストールする必要がある
• 検疫対象かどうかを判定するためのサーバの設定が難しい

ということが一般的であり、導入障壁が非常に高いと感じた方もいるかもしれない。またそのため、検疫ネットワークは「大企業向けのソリューション」という印象が強い。もちろん、検疫ネットワークが導入可能な予算やスキルがあれば、最も厳密な検疫を行うという意味で上記のようなソリューションを導入することが望ましいだろう。

　しかし最近では、比較的容易かつ安価に導入・運用可能な検疫ネットワークのソリューションが登場している。特に、すべてのスイッチを統一しなくてもある程度のレベルの検疫を行うことができるものや、規模の小さいユーザーでもすぐに導入可能なものは、検疫ネットワークシステム導入のハードルを下げるものとして注目できる。

　例えば、2009年1月に最新版のファームウェアがリリースされた中小企業向けのヤマハ製ルータ「SRT100」では、セキュリティ対策製品と連動し、PCに指定のセキュリティソフトがインストールされているかどうか、あるいはウイルスパターンファイルの状態など、あらかじめ設定したポリシーをチェックする機能が搭載されている（図3）。

図3●簡単な検疫システムの導入例：ヤマハルータによるポリシーチェック

　SRT100内のDHCPサーバ機能を使って通常の業務用ネットワークとポリシーを満たしていないPC用の隔離ネットワークとを分けることにより、簡易ながらもポリシーを満たしていないPCが業務用ネットワークにはアクセスできない仕組みになっている。

　このソリューションでは、ルータを1台導入すれば、各PCにエージェントソフトをインストールすることなく簡易に検疫・ポリシーチェックを行える。導入に掛かるコストも、PCが10～20台程度であれば、定価7万8000円のSRT100と、PC台数分のライセンスが必要なセキュリティソフトのコストを合わせても20万円未満となり、比較的安価に検疫ネットワーク環境を実現できる。

　2つ目の例は、マイクロソフトが提供するNAP（Network Access Protection）を利用した検疫ネットワークシステムである。これは、Windows Server 2008の標準機能として提供されており、ポリシーに合致しないPCをネットワークから隔離する仕組みだ。

　NAPシステムは、ポリシーなどをあらかじめ設定する「NAPサーバ」と、実際のポリシーチェックの対象となる「NAPクライアント」というエージェントがインストールされたPCで構成される。優位点としては、Windows XP SP3もしくはWindows Vista Business／Enterprise／UltimateいずれかのエディションのWindowsクライアント環境の場合、NAPサーバとなるWindows Server 2008を用意すれば比較的すぐに利用できる点が挙げられる。ポリシーに違反しているPCを隔離する方法も、従来の検疫ネットワークで用いられていたIEEE 802.1Xや、先述のルータのDHCP方式など多様な手段を用いることができる。

　NAPにより最も簡単にチェックができるポリシーには、以下の例が挙げられる。

• Windowsのファイアウォールを有効にしているか
• Windows Updateが「自動更新」に設定されているか
• ウイルス対策ソフトがインストールされているか

　基本的にNAPは、Windowsが搭載する「セキュリティセンター」の情報を見て各PCのポリシーをチェックしている。そのため、例えばウイルス対策ソフトのパターンファイルのバージョンチェックも、大まかではあるが把握は可能だ。ただし、セキュリティセンターの基本的な機能では、「パターンファイルが10日以上更新されていなければポリシー違反とする」というレベルでのチェックになってしまうため、厳密な検疫という点ではあまり実用的ではないかもしれない。今後、各社のセキュリティ対策ソフトがNAPに正式に対応し、より詳細なポリシーをNAPサーバ上で設定できるようになることが期待される。

　現在これ以外にも簡易な検疫ソリューションがリリースされているので、検疫やポリシーチェックというキーワードにてチェックしていただきたい。

これまでのセキュリティとは違う検討ポイント

　情報漏えいを防止するには、

• 自社にとって何が機密情報なのか
• どのような流出経路が想定されるか
• どのような対策、製品の導入が有効なのか
• その利便性とセキュリティ性のバランスはどうか

など、従来のセキュリティ対策とは傾向の異なる検討を導入時に行わなければならない。情報漏えい防止ソリューションを導入するだけで安心せず、その後の運用や社員への啓発活動を含めた対策の立案・実行をお願いしたい。