リスクにつながりやすい内部関係者

　企業は、重要なビジネスプロセスや情報資産、知的財産、不正行為に対して無防備になってしまっている情報を特定する必要がある。こうした資産はリスクを生む。次に、これらの資産を利用できるユーザーを見極める。こうすることで、リスクにつながりやすい内部関係者のリストが得られる。最後に、企業はこれらの全ての内部関係者が、前述した重要な資産を実際に利用する必要があるかどうかを確認しなければならない。内部関係者についても同様に確認が必要だ。

単一障害点となる人物の特定

　重要なビジネスプロセスでは特定の人物の承認を必要とするだろうか。そうしたビジネスプロセスが、リスクにつながりやすい内部関係者の妨害を受けないようにするには、どのような監視を用意すべきだろうか。最小特権、職務の分離、2人体制による保全といったアクセス制御の問題に関して、方針や手順を作成・更新する必要はあるだろうか。このような点を確認する。

内部関係者の脆弱性評価

　内部関係者による脅威の脆弱（ぜいじゃく）性評価では、内部関係者が企業の重要な資産に危害を加えるために利用できる組織的、行動的、技術的な脆弱性を探す。インターネットセキュリティを扱う組織CERT（Computer Emergency Response Team）に属する研究機関Insider Threat Centerでは、約20年にわたり内部関係者による脅威について数百に及ぶ組織的、行動的、技術的な指標を蓄積している。

ログの記録や監視

　ネットワーク管理者は、内部関係者による脅威への保護を強化するため、ネットワーク活動のログを取り、監視する必要がある。ネットワーク活動、ネットワークデータフロー、ユーザーアクティビティーの基準値を定めて監視するためのさまざまなツールがある。例えば、従業員がネットワークにログインできる時間と場所についてのセキュリティポリシーを設定し、監視できる。これらのポリシーに違反した場合の警告に対処することも可能だ。

　一例として、米国防総省では軍関係者を評価する「Personnel Reliability Program」（PRP）と呼ばれるプログラムを使用して、核兵器の利用権を付与している。これは安全面、精神面、健康面から評価と監視を行うプログラムだ。最も信頼できる人物だけが核兵器、科学兵器、生物兵器とその関連情報やテクノロジーを利用できるようにする。

　企業は、最も信頼できる従業員だけが、企業の知的財産など自社の差別化につながる資産を利用できるようにしたいと考えている。定期的な身元調査や監視の強化といった手法を用いることで、リスクにつながりやすい内部関係者を早めに見極められる。

ポリシーの見直し

　内部関係者による脅威に対する保護策に加え、企業は従業員のセキュリティの義務や範囲に関するポリシーを用意し、それを明確に伝え適用すべきだ。不公平なポリシーの適用は特別扱いとみられる恐れがある。そうなった場合、従業員の憤りや不満を引き起こしかねない。公平かつ平等に扱うという点において期待に応えなければ、内部関係者の攻撃的な行動につながる恐れがある。

　従業員に期待する行動を定めた明確なポリシーを用意することも重要だ。こ具体的には、従業員による社内活動の報告に関するポリシーや、これらの活動を報告するプロセスおよび手順などがある。

　加えて、企業は自社にとって最も重要なIT資産を把握し文書化しなければならない。ポリシーや役割を見直して、重要な情報を利用する必要がある従業員だけがその権限を持つようにする。このプロセスには従業員も関与させ、利用制限によって企業とその従業員を保護していることを伝えるべきだ。

　さらに、既に不満を抱いている内部関係者による事件の発生が、こうした権限の見直しと変更によって早まりそうな兆候を探す必要がある。利用調査によって、企業に損害を与える行動を既に取っている内部関係者が明るみに出ることがある。それに対処する準備をしなければならない。

　情報テクノロジーの妨害工作の前触れとなる行動を無視してはならない。大抵の場合、同僚や上司は、内部関係者によるそのような脅威の行動を感じている。だが、報告はされていない。こうした対応が取られないのは、多くの場合、経験不足やこれらの行動に対処する方法の理解不足によるものだ。巻き込まれたくないと考える場合もある。しかし、従業員が企業を攻撃しようと決断する前にその従業員を助ける機会を逃していることもまた事実だ。