セキュリティ対策虎の巻（第4回） 内部脅威対策は「アクセスログ」より始めよ

　セキュリティーに完全無欠の対策はない。企業を取り巻くさまざまなリスクに対応するには、脅威の種類を理解し、的確に対応しなければならない。社内システムへの不正アクセス・ウイルス感染・データ改ざん、メールやUSBメモリーを悪用した内部からの情報漏えい、自然災害によるデータの消失――。どんな脅威から情報を保護するかによって、対策も異なってくる。

　「セキュリティー対策の必要性は理解しているが、どのような脅威から、どうやって、どのレベルまで防御すればいいのか分からない」。こんな悩みを持つ中堅・中小規模の企業経営者が多い。セキュリティー対策といえば、まず外部からの脅威を思い浮かべる。外部脅威への対策についてはこれまで述べてきたが（下記「関連記事」「連載記事」を参照）、悪意のある人がパソコンのUSBケーブルをハードディスクにつないでデータを改ざんしたり、盗んだりするリスクには対応できない。内部犯行による情報漏えいには、内部犯行用の対策が求められる。

内部犯行の抑止に役立つアクセスログ管理

　内部犯行の多くのケースでは、犯行者は何らかの足跡をシステムに残す。「いつ」「誰が」「どのデータ」にアクセスしたのか、アクセスログ（履歴）を取得・保存しておけば、情報漏えいやデータ改ざんの問題発生時に、そのログを原因究明に役立てられる。

　アクセスログ（以下、ログ）は建物の出入り口に設置された防犯カメラのようなものだ。トラブル発生時に録画映像で現場を確認するのと同様に、情報漏えいが疑われる問題発生時にそのデータを基に原因を究明する。

　例えば、従業員が権限外のシステムにアクセスしたり、社内のパソコンからUSBメモリーにデータをコピーしたりした場合、ログ情報を基に関係者を特定できる可能性がある。ログで証拠を示すことにより、取引先や関係者に状況を説明したり、ログの取得を社員に通知して、内部犯行による情報漏えいを抑止したりするといった効果も期待できる。

　ログ管理と一口に言っても、ネットワークやサーバー、アプリケーションなど対象は幅広い。ログをやみくもに集めていても管理しきれなければ意味はない。そこで、重要情報を保管するファイルサーバーのログ管理に的を絞り、不正アクセスや情報漏えいの抑止と検証に役立てるといった工夫が欠かせない。最低限、重要情報を保管するファイルサーバーのログは取得できる仕組みを構築すべきだ。

　世の中にはさまざまなログ管理製品が提供されている。ログの取得・保存に加え、ログを監視して異常時にシステム担当者に通知したり、ログの解析結果をレポートしたりする機能を備えるタイプもある。何を目的とするかで選択の基準もさまざまだが、せっかく内部犯行対策を行うなら、データ消失にも備えられるソリューションがいいだろう。

ログ管理が可能なサーバーで安全にデータを保管

　内部犯行のリスクには、機密情報を抜き取られるだけでなく、データの破壊、消失の危険性もある。重要データを保存するサーバー専用機の導入や世代管理を含めたデータバックアップの仕組みを検討したい。もちろんログが取れることがソリューション選択の大前提となる。

　バックアップといえば「データは社員のパソコンに保存し、バックアップが必要なデータは外付けのハードディスクに保存しているから大丈夫」という経営者もいるのではないだろうか。

　外付けのハードディスクではデータを簡単に改ざんしたり、盗んだりできる。ビジネスの重要なデータを改ざん、消失させないためにも、データ保存専用に設計されたサーバーやクラウドサービスのほうが安全だ。

　内部犯行対策においては、ログ管理の仕組みを確保した上で、正しいデータを確保するためにデータバックアップも用意する。これが最低限の対策となる。加えて、ユーザー認証やアクセス権の設定も重要だ。許可されたユーザーのみが重要情報にアクセスできる仕組みをつくる。内部犯行対策は重要情報を扱うだけに、協力会社には信頼できるパートナーを選びたい。

　例えば、NTT西日本では、企業の重要データ管理やバックアップ対策を支援するソリューションとして「データ安心保管プラン」（※1）を用意している。このうちスタンダードプランでは、ネットワークに直結しているストレージ「NAS」をベースに、セキュアな閉域網である「フレッツ・VPN　ワイド」（※2）のネットワークを介して拠点間でデータを共有する。データの一括保管管理やアクセス権の設定もできる。さらに、データのクラウド上へのバックアップも自動で実施し、世代管理も可能だ。

　データ安心保管プランを活用すれば、いつ、誰が、何をしたのか、ファイルへのアクセス履歴を記録し、データの改ざんなど不正操作を抑止できる。問題発生時の証拠としてログを利用し、内部犯行者の推定も行える。

セキュリティー教育も欠かせない

　内部犯行を防ぐシステムの仕組みと同じくらい重要なのは、社員の教育である。一般的な社員教育と異なり、セキュリティー教育の難しいところは、売り上げ増加や業務効率化といった企業の命題に直結しにくいことだ。だが、セキュリティー対策の不備で顧客情報や機密情報が漏えいしたり、重要資産が消失したりすれば、金銭ではあがなえない大きな損害を被る。

　定期的に研修を行い、社員のセキュリティー意識を高めておこう。社員の意識が高ければ、グループ会社、協力会社の関係者も「ここはセキュリティーが厳しい」という印象を持つ。関係者による内部犯行の抑止にもつながる。

　経営者は社員を信用したい。しかし、1人でも悪意のある関係者がいれば、重要情報を持ち逃げされたり、データを改ざんされたりするかもしれない。内部犯行対策には、ログ管理とデータバックアップ、そしてセキュリティー教育が不可欠である。

※1 フレッツ 光ネクスト等・プロバイダーとの契約・料金が必要
※2 フレッツ 光ネクスト等の契約・料金が必要

※掲載している情報は、記事執筆時点のものです