強い会社の着眼点（第35回） 情報漏えいの犯人は、"無自覚な同期"だった⁉

　どの企業でも起こしたくない「情報漏えい」。IPAの「情報セキュリティ10大脅威2025［組織］」によれば、脅威の１位は「ランサム攻撃による被害」で、内部の情報が狙われる。この他にもシステムの脆弱性を突いた攻撃や内部不正による情報漏えいなどが挙げられているが、注目したいのは10位の「不注意による情報漏えい等」だ。これは「７年連続8回目の選出」という。リスク管理を考えるうえで、こうした事態はできる限り避けなくてはならない。

主な内部からの情報漏えいのパターン

　外部からの攻撃はもちろんだが、普段から気をつけるべきは内部からの情報漏えい、と述べた。例えば、USBメモリなどの記録媒体の他にも、ノートパソコンやタブレット、スマートフォンなどの置き忘れや紛失も十分に起こり得る。そして、それらに社内の重要なデータを入れるべきでなく、社員一人ひとりのルールやリテラシーの徹底も重要な視点となる。

　企業で情報漏えいが発生するリスクや原因は、大きく分けて9つある。1つは先ほど触れた紛失・置き忘れだ。会社から持ち出したパソコンやUSBメモリの置き忘れや紛失などが考えられる。2つめは誤操作。機密情報や個人情報の入ったメールを誤った宛先に送信する、などでの情報の流出。3つめは外部からの悪意ある者の不正アクセスだ。

　4つめは管理ミス。情報の公開や管理のルールが不明瞭、作業手順にミスがあったりで、データを紛失したり、誤って開示したりしてしまうなどの事態が考えられる。5つめは社内に泥棒が入る、社用車が車上荒らしに遭うなど、端末や情報媒体が盗まれるケースだ。そして、6つめは社内の端末やサーバーの設定ミスで社外の人が情報にアクセスできてしまうなどの設定ミス。7つめは内部犯罪や不正行為での情報の流出、8つめはルールに反して情報を持ち帰って仕事をしたり、顧客に見せたりするなど、情報の不正持ち出しによる漏えい。9つめは機器やソフトウエアのバグやセキュリティホールによる情報の流出だ。

　特に気をつけるべきは、6～8つめで触れたユーザーの設定ミス。クラウドが広く利用される昨今では、「共同作業フォルダを共有しようとして別のフォルダを共有してしまう」「共有フォルダに誤って社内情報を入れてしまう」などの事例も多発している。筆者も過去、共同作業者から「無関係なフォルダが共有されていますよ」と連絡を受けて、肝を冷やしたことがある。

「OneDrive」や「iCloud」「Googleドライブ」などの自動同期もリスクに

　ところで、「OneDrive」や「iCloud」「Googleドライブ」など、よく使うクラウドサービスには、便利な「同期」や「自動バックアップ」機能がある。任意のフォルダやドライブ、デスクトップ、お気に入りなどをまるごとバックアップ、変更があるたび自動で同期する仕組みで、定期的な更新作業をしなくてもバックアップが取れたり、複数のパソコン環境を統一できたりして重宝する。ただし、これらの機能を理解しないまま使っていると非常に危険だ。

　例えば、Windowsユーザーの大半が使うOneDrive、デフォルトではサインインと同時にバックアップ機能がオンとなり、クラウドを介して複数のパソコン間でファイルが同期される。つまり、自宅と職場で同じアカウントを使っていれば、自宅のパソコンに社内データが自動同期される事態が発生する。そうなると社外の第三者に社内ファイルを見られる、データを持ち出されるなどの可能性が発生する。

　しかも、自宅のパソコンが認証なく誰でも操作可能な状態になっている、アップデートを怠っている、ウイルスに感染しているなど、管理がずさんだったりすると被害が拡大する恐れが高まる。こうした事態には、設定を見直し、不要な同期機能を停止するのがよい。詳しくはヘルプなどを参照しよう。

万が一に備えたサポート体制を充実させておくことが重要

　こうした事態を防ぐには、個人個人が気をつけたり、設定を見直すこと、社内情報を他に持ち出さない、持ち出す際にはパスワードロックを掛ける、添付ファイル付きメールの送信には複数人でのチェックを行う、など、十分な対策やルール徹底はもちろん、セキュリティソフトやファイアウォールの導入、サーバーへの強固な認証システムの導入、VPN（仮想プライベートネットワーク）環境を構築して社内の情報が他に転送されないよう監視したり、リスクが高いサービスへのアクセスをブロック、安全なサービスへのアクセスのみを許可するなどの方法が有効だろう。

　このIT時代、日常の作業に加えて、アップデートなどのメンテナンス作業、機器やシステムのマニュアル作り、シャドーAIや不正通信などの利用監視、社員の操作サポートなど、情報システム担当の負担は増すばかり。ランサム攻撃や災害、不正アクセス、情報漏えいなどの万が一の対応は、社内のみでは間に合わない。起こりうる事態に備え、アウトソーシングやリモートサービスを契約しておくなども有効な手段だ。企業にとって情報漏えいは、会社の信用を揺るがす事態になり得る。十分な注意と対策が必要だ。その第一歩は「自分は大丈夫」と思わず"身近なリスク"に備えることから始まる。

※掲載している情報は、記事執筆時点のものです