　第一段階は、データの持ち出し経路を制限し、制御することです。スマートフォンやタブレットなどの外部デバイスの他、ネットワーク、プリンタ、USBメモリなどの外部メディアの利用の制限や制御です。制御対象には、業務内容に応じてWebカメラやイメージスキャナなども含まれます。これは「データを外に出させないこと」を目的とした対策です。

　第二段階は、データを持ち出す際の履歴管理です。組織活動において一切のデータを持ち出さないということはあり得ません。多くの企業や法人が、データ持ち出しに際してメールや所定の申請書もしくは口頭で上長の承認を得るというルールを運用しているようです。

　第三段階として、承認されたデータの持ち運びにセキュリティ対策をしたデバイスを使用することが推奨されます。企業や法人が管理できるデバイスで、かつデータのコピーや移動が制限でき、その上で操作ログを記録するなどしておけば安全ですね。

　「データを外に出さない」ための対策、「持ち出さざるを得ないデータを管理する」ための対策、そして「安全にデータを持ち運ぶ」ための対策。このように情報の利用段階に合わせた多層的な対策がされているのが理想です。

業務効率を落とすことなく徹底できることが重要

　しかし、これらが簡単に実現できれば誰も苦労をしないわけです。本稿の読者から寄せられたコメントに「暗号化よりも持ち出し承認手続きの方が手間だ」というものがありました。同様のことは私たちが情報漏えい対策製品を提案する中で、多くの情報システムの担当者からお聞きします。

　データの持ち出し申請管理だけでも、承認者である管理者層の負担が大きくなり過ぎたり、ルールが事実上無効化していたりと現場からの悲鳴が上がっているのが現状です。

　これらの多層対策を一括で実行できるように当社では「InterSafe ILP」という情報漏えい対策ソリューションを提案しています。これはデバイス制御から情報持ち出しの申請と承認のワークフロー、セキュリティUSB作成ソフト、ファイル暗号化ソフトからなる製品群です。

　情報漏えい対策は、データの持ち出し対策と持ち出された後の対策が業務効率を落とすことなく徹底できることが重要です。すなわち「社内ファイルを人的な負荷なく暗号化すること」と「デバイス制御により情報の持ち出しを管理すること」を両立させることで、セキュリティ対策を使わせる（浸透させる）ようにすることが大切です。情報の制御、管理、把握により、安全かつ安心な情報活用環境が構築できます。

　人に依存しないセキュリティの体制づくりとは、人の負担を減らすことでもあります。多層対策を一度に始めることは難しくても組織内での部分的な導入や段階別の導入など、組織の実情にあった対策を検討する、または見直しをするきっかけとしてお役に立てれば幸いです。