組織の関係者が原因となる情報漏えいは、一般的なサイバー攻撃対策で用いられるソリューションでは十分な対処ができるとは言えません。内部脅威のリスクを低減するために、情報漏えいのきっかけになりやすい経路を整理し、それぞれの対策をご紹介します。
おすすめブログ
セキュリティ教育では阻止できない情報漏えいの防ぎ方
情報漏えいの実状としては、社内の関係者による機密情報の不正持ち出しが圧倒的大多数です。なぜ内部不正が起こるのか、「魔が差す」メカニズムと有効な対策について解説します。
シャドーIT
組織で許可されていないSaaSやIaaS、もしくは個人のスマートフォンやPCを用いた内部不正はクラウド管理やアクセス管理などによってリスクを抑えることが可能です。許可されていないサービスへのアクセスをWebセキュリティによって制限したり、社内ネットワークの監視も有効です。また、これらを単体のソリューションではなく統合されたCASB・SASEソリューションとして利用することで、より効率的に不審な動きを検知することができるでしょう。
対策ソリューション
CASBソリューションの活用
従業員によるクラウド利用の対策に特化したCASBは、利用状況の監視や適切なアクセス権管理、許可されていないサービスへのアクセスなど、情報漏えいリスクを可視化できます。また、日本語でのDLP対策に対応しているかもソリューション選定の重要なポイントです。
SASEソリューションの活用
セキュアWebゲートウェイをクラウドとして提供するSASEソリューションであれば、社外・社内にかかわらず同様のセキュリティレベルを保った運用が可能です。
サンクションITの不正利用
許可された（＝サンクション）ITサービスであっても、個人のアカウントでクラウドサービスが利用可能な場合はシャドーITと同様に内部不正や情報漏えいのリスクを高めます。悪意がない場合でも、個人利用のクラウドサービスは適切なセキュリティレベルが保てなかったり監視が行き届かないため安全ではありません。クラウドサービスをより安全に利用するためには、サービスのアカウント単位での制御が必要です。
対策ソリューション
CASBソリューションの活用
従業員によるクラウド利用の対策に特化したCASBは、利用状況の監視や適切なアクセス権管理、許可されていないサービスへのアクセスなど、情報漏えいリスクを可視化できます。また、日本語でのDLP対策に対応しているかもソリューション選定の重要なポイントです。
クラウドの設定ミス
利便性の高さから業種や業界を問わず活用が広がるIaaS/PaaS/SaaSのクラウドサービスは、いずれもユーザ側の設定によって大きくアクセス権限が変わってしまいます。誰も設定ミスに気付かず何年も放置されるケースもあり、システムで設定ミスを検知する仕組みが必要です。
クラウドの設定管理を行うには、CSPM・SSPMソリューションが最適です。IaaSやPaaSであればCSPMソリューションを、SaaSであれば特化されたSSPMソリューションを選びましょう。
対策ソリューション
CSPMソリューションの活用
IaaS/PaaS向けのクラウド設定管理ツールはCSPM（Cloud Security Posture Management）と呼ばれ、日々更新されるクラウド環境をモニタリングし、潜在的な設定ミスやそれに伴うリスクを検出します。
SSPMソリューションの活用
SSPM（SaaS Security Posture Management）はCSPMのSaaS版とも言えるセキュリティ管理ツールです。SaaSの設定ミスによるセキュリティリスクを監視・検知し、情報漏えいなどにつながるリスクを低減します。
紛失・盗難
常に携帯しているスマートフォンや、業務に欠かせないPCを紛失したり盗難にあってしまった場合、情報漏えいを防ぐにはあらかじめデバイス管理をしておくことが有効です。紛失時にリモートワイプを実行したり、日頃使用するパスコードなどを強固なものに設定するなど、セキュリティ対策の基礎として検討をおすすめします。
対策ソリューション
端末管理ソリューションの活用
普段から最新のOSへのアップデートやアプリケーションの更新、強固なパスワードの利用などを一括で行えるほか、いざというときの情報漏えいを防ぐ最適なソリューションです。
協力会社への不必要な情報共有
自社のセキュリティ対策はきちんと行われていても、共にビジネスを行うパートナー企業や取引先などから情報漏えいが起こってしまうケースもあります。パートナー企業の選定時にセキュリティチェックを行うほか、ファイルのアクセス権を適切に設定し、必要以上の権限を与えない運用を行い、うっかりミスなどによる情報漏えいを防ぎましょう。
対策ソリューション
CASBソリューションの活用
従業員によるクラウド利用の対策に特化したCASBは、利用状況の監視や適切なアクセス権管理、許可されていないサービスへのアクセスなど、情報漏えいリスクを可視化できます。また、日本語でのDLP対策に対応しているかもソリューション選定の重要なポイントです。
USBに機密情報をコピー
USBなどの小型記憶媒体は、非常に扱いが容易な上大量のデータを簡単に持ち出せるため、業務で利用している組織も多いのではないでしょうか。便利であるからこそ、悪意を持って利用すれば大きな被害につながる可能性があります。必要に応じて利用を許可する仕組みに変更したり、大量のデータコピーなどを検知できるソリューションの導入を検討しましょう。
対策ソリューション
端末上のユーザ挙動監視
端末上でユーザがどのような操作をしたのか、端末のログだけではなく実際の操作を監視し、リアルタイムに不正持ち出しを警告・抑止します。また、各ユーザのリスク診断や証拠保全による実際のインシデント時の迅速な対応が可能です。
個人端末から社内へのアクセス
BYOD（Bring Your Own Device）と呼ばれる個人端末の業務利用は、企業側で端末を用意しなくてよいというメリットはありつつも、悪意さえあれば容易に情報を不正に持ち出せる状況を作りかねません。
内部不正リスクを低減させるために、組織によるデバイス管理が可能な社用端末を導入することや、許可されていないデバイスからのアクセスを防ぐための権限管理を行うことが重要です。
対策ソリューション
社用端末の利用
組織として社用端末を導入し、セキュリティ対策や利用可能なアプリケーションなどを管理できるデバイス管理ソリューションを活用することで、私用端末や個人利用のクラウドサービスなどを利用した内部不正リスクは低減できます。
統合認証基盤によるID管理・監視
認証基盤を整え、不正なアクセス要求を検知・対処することで、外部からの攻撃だけでなく内部の人間による不正アクセスも未然に防ぐことが可能です。ソフトバンクは認証基盤のログ監視、アラート調査のマネージドサービスをご提供しています。
機密情報の印刷
データではなく紙媒体での持ち出しは、情報システム担当者としては盲点になりうるポイントではないでしょうか。機密情報の所在がオンプレミス、クラウドにかかわらず、ファイルのアクセス管理を適切に行いましょう。また、PC端末上での挙動を監視するソリューションの導入も、抑止力になります。
対策ソリューション
端末上のユーザ挙動監視
端末上でユーザがどのような操作をしたのか、端末のログだけではなく実際の操作を監視し、リアルタイムに不正持ち出しを警告・抑止します。また、各ユーザのリスク診断や証拠保全による実際のインシデント時の迅速な対応が可能です。
メールでの外部送信
データではなく紙媒体での持ち出しは、情報システム担当者としては盲点になりうるポイントではないでしょうか。機密情報の所在がオンプレミス、クラウドにかかわらず、ファイルのアクセス管理を適切に行いましょう。また、PC端末上での挙動を監視するソリューションの導入も、抑止力になります。
対策ソリューション
端末上のユーザ挙動監視
端末上でユーザがどのような操作をしたのか、端末のログだけではなく実際の操作を監視し、リアルタイムに不正持ち出しを警告・抑止します。また、各ユーザのリスク診断や証拠保全による実際のインシデント時の迅速な対応が可能です。
機密情報かどうかの誤認
従業員が機密情報だと認識せずに適切な管理をしていなかったり、適切な情報の管理方法を知らなかったりする場合も、情報漏えいのリスクが高まります。「人」を対象にしたセキュリティ対策としては、セキュリティ教育が適切です。無知やセキュリティ意識の不足による不幸な情報漏えいインシデントを防ぎましょう。
対策ソリューション
従業員教育コンテンツ
従業員のセキュリティ意識を底上げするには、定期的かつわかりやすい情報セキュリティ教育が必要です。ただ資料として配布するだけでなく、人の記憶に残りやすいコンテンツで理解度向上を狙いましょう。
おすすめ資料ダウンロード
条件に該当するページがございません
情報漏えい対策はソフトバンクにお任せください
組織の情報漏えい対策は、単一のソリューションだけでなく総合的なサイバーリスクマネジメントに伴走できるパートナーが最適です。ぜひ一度ソフトバンクにご相談ください。
