二度と情報漏えいさせないために故意もミスも不審な操作は徹底抑止

過去にソフトバンクでも内部関係者による情報漏えいが発生していた

かつて、退職者による営業機密の不正流出によって大きな損害を被ったソフトバンク。内部関係者によって技術情報を不正に持ち出されたことを受けて、社員へのセキュリティ教育や研修、秘密保持契約の締結だけでは内部不正を防げない事実が浮き彫りになりました。

また、故意の情報持ち出しだけでなく、ルール未順守に起因する情報漏えいのリスクも高まっていたといいます。コロナ禍で在宅勤務に移行したことで業務とプライベートの境界が曖昧になってしまい、個人的に利用していた未許可のクラウドサービスやオンラインストレージに安易にデータをアップロードしてしまう可能性があったのです。情報が管理下に置かれていない状況では、外部からアクセスできる設定になっていても判別できないことが危惧されました。

時を同じくして、改正個人情報保護法に情報漏えい時の通知義務が盛り込まれることが公布されるなど、情報漏えいに対する危機感が社会全体で一層拡大していました。

こうした背景から、ソフトバンクでは情報資産管理を徹底するため、本格的に内部不正対策に取り組みはじめます。セキュリティ教育や研修の強化はもちろん、操作ログの監視やアクセス制限など、内部不正を防止するシステムを抜本的に見直すことにしました。

当時ソフトバンクが導入していた内部不正の監視システムでは、不正な操作を検知するためにはセキュリティ担当者自身で不正行為のルールを設定する必要がありました。そのためには「禁止されたソフトウェアを実行している」「データを大量コピーしている」「未登録のUSBを接続している」といった不正につながりやすい操作の傾向を踏まえ、ルールを細かくチューニングする必要があったため頻繁な更新ができず、検知精度を上げることが難しかったと話します。

また、当時の監視システムでは、不正行為を検知した後の正確な分析に時間がかかることも課題でした。ある一人の端末から不正な操作を検知した場合、その操作は組織の慣習として業務の一環で行っているのか、もしくは個人的に非業務的な事情で行っているのかなどを調べるため、組織全体のログを過去に遡って調査する必要があったのです。しかし、この監視システムには細かい操作ログを確認できないという欠点がありました。

「以前の監視システムではメタ情報しか確認できないため、ある程度推測しながらの分析が必要で、正確に調べ上げようとすると１件あたりの調査に約８時間かかっていました」（担当者B）