内部脅威による情報漏えいの処方せん部内者の関与をどう防ぐ?

企業は、データの保護と社員のプライバシーを両立できるバランスの取れたセキュリティを確立する必要がある。

2013年09月11日 08時00分 公開
[Warwick Ashford,Computer Weekly]
Computer Weekly

 DLP(data loss prevention)システム、暗号化、インターネット監視ツールなど、制限型の制御では完璧なセキュリティは実現できず、部内者が関与したデータ漏えいが増えている。生産性に影響せず、従業員のプライバシー権を侵害することもなく、セキュリティを高めるにはどうすればよいか?

 英国の詐欺防止サービス「Cifas」によると、部内者が関与した詐欺は2012年に43%増加している。また、米Verizonの2013年版「データ漏洩/侵害調査報告書」によると、全データ侵害の14%に部内者が関与しているという。

Computer Weekly日本語版 2013年8月21日号無料ダウンロード

本記事は、プレミアムコンテンツ「Computer Weekly日本語版 2013年9月11日号」(PDF)掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

なお、同コンテンツのEPUB版およびKindle(MOBI)版も提供しています。


 ストレージおよび情報管理企業のIron Mountainの調査では、英国の従業員の8%は、雇用主から不当と感じる処遇を受けた場合、機密情報を盗んで報復すると回答している。

内部脅威の拡大の背景

 近年、機密性の高いデータを保持している企業は、ファイアウォールや侵入検知システムを使い、ネットワーク境界の保護についてはかなり成果を上げている。その結果、攻撃者はこのような制御を迂回するため、組織内部の協力者を探すようになった。

 部内者を利用すれば、定期的に組織内のデータにアクセスすることは格段に容易になる。セキュリティ企業は、ハッカーに強要されて協力者にさせられた部内者が関与するデータ漏えいが増えていると報告している。

 銀行にとってデータセキュリティは極めて重要であるため、システムをロックダウンし、インターネットへのアクセスを制限することでセキュリティを確立してきた。最近ではDLP(data leakage prevention)ツールやデータ暗号化ツールなどの制限型の制御を導入して、アクセスおよび外部に送信できるデータを制限している。

 しかし、依然としてデータの流出は止まらない。しかも、システムをロックダウンしてアクセスを制限することで、競争力を生み出すために必要なイノベーションが抑圧されていることに銀行は気付きつつある。

 英Dtex Systemsのマネージングディレクター、モハン・クー氏によると、銀行やメディア企業、通信会社は現在、「trust, but verify(信頼するが、検証もする)」(訳注)セキュリティモデルを採用し、データ保護と従業員のプライバシーの両立を図っているという。

訳注:元はロシアの格言。ロナルド・レーガン元大統領が引用したことで有名(参考:Wikipedia)。

 つまり、従業員が革新的かつ創造的でいるために必要なアクセスと柔軟性を認めつつ、保護監視システムによって危険な行為や悪意のある行為がないことを検証するというモデルだ。

 「このモデルのおかげで、英国の金融機関は、ロックダウンによる制限型のセキュリティから転向できている」と、クー氏は語っている。

 DLPツールが情報漏えいを阻止できない最大の理由は、ツールが各組織固有の要件に合わせて適切に構成されていないことだとクー氏は指摘する。企業が抱えるリスクは同じではないが、DLPツールのサプライヤーはどの顧客にも同じ構成を勧めることが多いという。

 「情報漏えいの発生を把握し、実際に起きている箇所を特定できる唯一の方法は、組織のネットワーク上の全ファイルについて、ユーザーの操作の内容をチェックする監査を実行し、DLPシステムが作動している箇所と、DLPシステムに検知されずにデータが転送されている箇所を特定することだ」とクー氏は語る。

 また、データ侵害事件の多くで、従業員がインターネットを使って最も一般的なインターネットセキュリティツールを迂回する方法を調べ、そのテクニックを同僚に教えていることも保護監視システムによって暴かれている。

セキュリティモデルの転換を進めているその他の業界

 金融業界に次いで制限型のセキュリティが普及している通信業界も、データセキュリティを改善する方法を模索している。

 通信会社でも保護監視モデルによって、制限が行き過ぎることも従業員のプライバシーが侵害されることもなく、英国のデータ保護法(Data Protection Act)の規定に準じて重要な顧客保持データを制御できている。

 創造性がビジネスの基軸になることから制限を設けてこなかったメディア業界では、逆にこの保護監視モデルを使って従来の自由を維持しつつ、情報セキュリティを強化している。

 「一般的にメディア企業では、セキュリティ制御がほとんどまたは全く導入されていなかった。しかし、特に2013年5月に発生したSyrian Electronic Army(訳注)による西側メディアへの攻撃以後は、情報セキュリティの重要性を認め始めている」とクー氏は言う。

訳注:SEA(Syrian Electronic Army)関連記事まとめ

 他に、電力と小売業界も、保護監視を使って「trust, but verify」型のセキュリティに移行している。

 しかし、保護監視ではどのようにしてプライバシーの侵害を防ぐのか?

続きはComputer Weekly日本語版 2013年9月11日号にて

本記事は抄訳版です。全文は、以下でダウンロード(無料)できます。


Copyright © ITmedia, Inc. All Rights Reserved.

鬮ォ�エ�ス�ス�ス�ス�ス�ー鬯ィ�セ�ス�ケ�ス縺、ツ€鬩幢ス「隴取得�ス�ク陷エ�・�ス�。鬩幢ス「�ス�ァ�ス�ス�ス�、鬩幢ス「隴主�讓滂ソス�ス�ス�ス鬩幢ス「隴趣ス「�ス�ス�ス�シ鬩幢ス「隴乗��ス�サ�ス�」�ス�ス�ス�ス

製品資料 フォーティネットジャパン合同会社

限界を迎える従来型境界防御、今求められる先進的な検知と対応能力とは

従来型境界防御が限界を迎え、企業は新たなサイバーセキュリティの課題に直面している。今日の高度な脅威に対抗するためのセキュリティアプローチとして、ZTNA、EDR、XDRの統合による包括的保護の実現方法について解説する。

技術文書・技術解説 アイティメディア広告企画

「AIエージェント時代」にセキュリティはどう進化する?

「AIエージェント」をはじめとする人工知能(AI)技術を、脅威の検出や分析に利用する動きが広がりつつある。AI技術がセキュリティ分野にもたらす可能性と、その効果を最大限引き出すために留意すべき課題について整理する。

技術文書・技術解説 アイティメディア広告企画

「乱立するセキュリティツール」を統合しても悩みが尽きない理由とは?

セキュリティ運用の複雑化を防ぐために、乱立するセキュリティツールの統合に取り組む企業が増えている。しかし、ただ統合するだけでは必ずしも問題の解決にはつながらない。“賢い統合”を実現するためのポイントとは。

技術文書・技術解説 アイティメディア広告企画

「SIEM」と「SOAR」――何がどう違うのか、どちらを選ぶべきか

SIEMとSOARは、企業のセキュリティ運用を支える中核的なツールだ。両ツールの目的や機能、メリットは大きく異なるが、十分に理解している人は少ない。それぞれの特徴を整理し、自社に最適な選び方を分かりやすく解説する。

技術文書・技術解説 アイティメディア広告企画

いまさら聞けない「EDR」と「SIEM」の違い 結局どちらを選ぶべき?

「EDR」と「SIEM」はどちらも企業のセキュリティを強化するための重要なツールだが、それぞれ担う役割や得られるメリットは大きく異なる。両者の違いや併用の可能性について触れつつ、最適なセキュリティ体制を構築するヒントを探る。

郢晏生ホヲ郢敖€郢晢スシ郢ァ�ウ郢晢スウ郢晢ソスホヲ郢晢ソスPR

From Informa TechTarget

いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは

いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ(仮想PC画面)は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。

繧「繧ッ繧サ繧ケ繝ゥ繝ウ繧ュ繝ウ繧ー

2025/06/02 UPDATE

  1. 險シ蛻ク蜿」蠎ァ縺�縺代§繧�↑縺�€€莨∵・ュ繧ら漁縺�€後う繝ウ繝輔か繧ケ繝�ぅ繝シ繝ゥ繝シ縲阪�莉慕オ�∩縺ィ蟇セ遲�
  2. 繧ケ繝槭�繧貞�髮サ縺励◆縺�縺代↑縺ョ縺ォ笏€笏€繝槭Ν繧ヲ繧ァ繧「諢滓沒繧呈魚縺上€後ず繝・繝シ繧ケ繧ク繝」繝�く繝ウ繧ー縲阪→縺ッ
  3. 窶弃C荵励▲蜿悶j窶昴�諱舌l繧ゅ€€Microsoft陬ス蜩√�蜊ア髯コ縺ェ縲後ぞ繝ュ繝�う閼�シア諤ァ縲阪→縺ッ
  4. 繧オ繧、繝舌�謾サ謦�〒鬘ァ螳「諠��ア豬∝�縺ョ蟆丞」イ繧雁、ァ謇九€€蟆る摩螳カ縺梧音蛻、縺吶k窶懆ヲ矩€壹@縺ョ逕倥&窶�
  5. 萓ソ蛻ゥ縺�縺代←蜊ア髯コ�溘€€AI縺ョ陬丞�縺ォ貎懊�6螟ァ繝励Λ繧、繝舌す繝シ萓オ螳ウ繝ェ繧ケ繧ッ
  6. 縲瑚コォ莉」驥代r謾ッ謇輔≧縲堺サ・螟悶�繝ゥ繝ウ繧オ繝�繧ヲ繧ァ繧「蟇セ遲悶�譛ャ蠖薙↓縺ゅk縺ョ縺具シ�
  7. 窶懆、�尅縺ェ繝代せ繝ッ繝シ繝俄€昴h繧翫€後ヱ繧ケ繝輔Ξ繝シ繧コ縲阪r蟆る摩螳カ縺悟匡繧√k逅�罰
  8. 縲瑚コォ莉」驥代r謾ッ謇輔≧縲阪�縺ッ蠕励°謳阪°�溘€€繝ゥ繝ウ繧オ繝�繧ヲ繧ァ繧「謾サ謦�〒霑ォ繧峨l繧玖協貂九�驕ク謚�
  9. 繝ゥ繝ウ繧オ繝�繧ヲ繧ァ繧「髮�屮LockBit縺梧ュ蝣ア貍上∴縺�€€繝��繧ソ縺梧垓縺�◆窶懈判謦�€��闍ヲ蜉エ窶昴→縺ッ
  10. 驥丞ュ先橿陦薙�霆堺コ句茜逕ィ莠倶セ九€€闍ア蝗ス縺後€碁㍼蟄宣崕蟄先凾險医€阪r髢狗匱縺励◆逶ョ逧�→縺ッ

内部脅威による情報漏えいの処方せん:部内者の関与をどう防ぐ? - TechTargetジャパン セキュリティ 隴�スー騾ケツ€髫ェ蛟�スコ�ス

TechTarget郢ァ�ク郢晢ス」郢昜サ」ホヲ 隴�スー騾ケツ€髫ェ蛟�スコ�ス

ITmedia マーケティング新着記事

news017.png

「サイト内検索」&「ライブチャット」売れ筋TOP5(2025年5月)
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。

news027.png

「ECプラットフォーム」売れ筋TOP10(2025年5月)
今週は、ECプラットフォーム製品(ECサイト構築ツール)の国内売れ筋TOP10を紹介します。

news023.png

「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2025年5月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...