2014年を象徴する“内部犯行による情報漏えい事件”と、いまだ残る謎：どうすれば防げたのか

米国家安全保障局（NSA）の元職員であるエドワード・スノーデン氏の事件が示すように、完全無欠なセキュリティなどというものは存在しない。だが、最善を尽くす必要は依然としてある。

[Craig Mathias，TechTarget]

　データやネットワークなどに対する完全無欠なセキュリティというものは存在しない。どの組織でも情報セキュリティは非常に重要だ。だが、ITのバリューチェーンには脆弱性が付き物である。ITバリューチェーンには、設備からネットワーク（WANとLANの両方）やアプリケーションまでが含まれる。IT担当者の使命は、ハードウェア、ソフトウェア、人為的なエラーによって機密情報が危険にさらされないようにすることだ。そのために、メカニズム、ポリシー、手続きを実装して一定レベルの保証を提供している。また、悪意のあるユーザーから機密情報を保護する必要もある。

関連記事

• ベネッセ情報漏えい事件でも焦点　企業が「特権ID管理」に失敗する理由
• 「信頼される社員こそ監視すべき」――内部犯行を阻止する条件
• ベネッセ事件でも標的に　「データベース」からの情報漏えい対策3カ条
• データベースより危険？　「ファイル共有」が内部犯行者の標的に

　セキュリティ要件の必須事項は次の通りだ。

• 適切なセキュリティポリシー
• 教育、トレーニング、認識、補強
• （VPN経由で）ネットワークを伝送中または保管中の機密データの暗号化（保管中のデータには会社／個人所有のデバイスだけでなく、サーバやクラウドにあるデータも含まれる）
• 管理システム（ディレクトリサービスを含む）、ID管理、適切な説明と報告
• ユーザーとデバイスの認証

　多くのIT担当者が考えないようにしている最大の脅威は、問題のある従業員や契約社員だ。彼らはネットワークに対して正当なアクセス権を持ち、一部の情報リソースにもアクセスできる。このようなユーザーが不注意または意図的にセキュリティの問題を引き起こす。最も分かりやすい例は、大きく報道されたエドワード・スノーデン氏の事件だろう。これは、米国家安全保障局（NSA）の上層部が違法と見なす行為によって、NSAのネットワークにアクセス権限のあるユーザーが自身の行動計画を実行に移した事件だ。

　公正を期して言うならば、データに対するアクセスや漏えいという観点では、信頼していて許可のある内部関係者が関与するネットワークの不正行為に対して防衛策を講じるのは難しい。だが、スノーデン氏の事件に関しては、米国で最も重要で経験豊富な情報機関が、上記の「Security 101」の手順を使いこなせてさえいれば防げたのではないかと思わざるを得ない。政治的な問題は切り離して、この事件について考えたい。このような脅威を緩和するために、どのような対策を講じることができただろうか。

関連記事

• 米NSAの“最強ハッカー集団”「TAO」の背筋が凍る手口
• 2015年に注目すべきセキュリティ製品は？　ガートナーが予測
• 残念な理由で流行るかもしれないクラウドデータの“自前暗号化”
• 社内の「スノーデン」にどう対応？　セキュリティ担当者の本音を探る

　スノーデン氏は、システム管理者という立場を利用して、大量の極秘情報をこっそり持ち出して逃走した。同氏は適切なアクセス権を持っていた。また、厳しい身元調査にも合格していた。それから、機密情報が保存されているコンピュータシステムへのアクセス権もあった。だが、同氏がアクセス権を持っていたデータは、なぜ暗号化されていなかったのだろうか。スノーデン氏は持ち出したファイルの全コンテンツを把握する必要はなかっただろう。スノーデン氏がネットワークの正当なユーザーと認証されている間、NSAの内部セキュリティメカニズムは、境界ネットワークのセキュリティに依存していた。境界ネットワーク内のユーザーは信頼できるという前提の下に全ての処理が行われ、必要最低限という概念は取り入れられていなかった。

　この驚くべき判断の誤りは、どのIT部門でも起こり得るセキュリティのギャップの中で最も深刻な部類に入るだろう。承認されたユーザーのみが機密情報にアクセスできるようにすべきである。また、アクセス権は個人ベースで設定し、その情報を知る必要がある場合にのみ付与すべきである。このようにすれば、盗まれたデータを保持しているユーザーが手に入れられるのは暗号化されたファイルのみになる。暗号化も完璧ではないが、今日の暗号化技術には非常に高い効力がある。

　スノーデン氏の事件から学んだ教訓をまとめたい。ネットワークとネットワーク経由でアクセスできるデータに対する潜在的な内部脅威の影響を最小限に抑えるための幾つかの対策を以下に紹介する。

必要最小限の特権

　機密情報へのアクセスは、身元調査に合格し、その情報を知る必要があるユーザーにのみ付与すべきだ。機密情報は区分化されていなければならない。承認されていないユーザーが機密情報にアクセスしたり、ファイル自体を見られないようにする必要がある。承認されていないユーザーには、個別に権限を設定しなかった場合に、許可があり、信頼されている正当なネットワークユーザーも含まれる。このようなセキュリティは、現在の多くのOSであれば簡単に実装できる。

セキュリティポリシー

　どの情報が機密で、誰がどのような状況で機密情報にアクセスできて、情報が侵害された場合に取るべき措置を明記したポリシーを策定されたい。定期的なセキュリティの強化と複数のスタッフによるネットワークアクティビティの監視は、リスクのさらなる軽減に役立つ。

アクセスの追跡

　適切なデータの暗号化、VPN、認証、管理のシステムを配置されたい。これには、機密情報を追跡して、機密情報に対するアクセスや変更などの操作が行われたときに警告を生成することが含まれる。まずモバイルコンテンツ管理システムを導入するのが良いだろう。モバイルのトレンドは、セキュリティに対する潜在的な脅威と見なされている。その一方で、効果的な情報セキュリティ戦略の導入において重要な要素となり得るのは興味深いことだ。これはモバイルが関連していない場合も同様である。

　完全無欠なセキュリティなどというものは存在しない。だが、内外の脅威に対して優れた防御策を講じることは可能だ。ただし、近道はない。そのために私たちが支払わなければならない代償は継続的な警戒心だ。