企業における情報漏えいのインシデントは数多く、外部攻撃による被害よりも内部犯行によるインシデントの方が多い。IPAが公開している最新の情報セキュリティ10大脅威においても「内部不正による情報漏えい事件等の被害」が第3位にランクインし、6位の「不注意による情報漏えい等の被害」と合わせて、脅威として指摘されてきた。

　在籍した企業の情報を持ち出して転職先で使ってしまおうと考える人が多いのか、退職者が多い時期に営業秘密が漏えいしてしまうリスクは極めて高いらしい。実際に事件に発展するインシデントも増えている。

　内部不正による情報漏えいを防ぐためのアプローチはさまざまあるが、その1つが、“何も信頼しない”というゼロトラストの考え方を実装するためのコンポーネント群となる「SSE」（Security Service Edge）だ。

　SSEには、「SWG」（Secure Web Gateway）や「ZTNA」（Zero Trust Network Access）、「FWaaS」（Firewall as a Service）、「DLP」（Data Loss Prevention）、「CASB」（Cloud Access Security Broker）などが含まれており、これらを単一のセキュリティサービスとして利用できるソリューションだ。多くのコンポーネントを内包するSSEだが、筆者の感覚では、予算や運用の観点で全ての環境を一気に導入するケースは少ないように思う。

　情報漏えい対策には、営業秘密や顧客の個人情報など、企業が保有する特定のデータのみを監視対象としたDLPが大きな役割を果たす。DLPは、事前に定義したポリシーに従って、データの持ち出しやコピー行為を即座に検知し、ブロックなどの操作制限機能で情報漏えいを未然に防ぐソリューションだ。

　他にも、利用者の不審な行動を検知する振る舞い検知機能を持つ「UEBA」（User and entity behavior analytics）などが有名だが、検知アラートが膨大に押し寄せるなど、運用負荷の問題があった。DLPは利用者ではなく保護すべきデータそのものを監視対象とすることで、アラート数を減らせる仕組みだ。

　ただし、DLPはその保護すべき対象範囲が広くなりすぎると業務に支障を及ぼす恐れもある。まずは操作を制限するのではなく検知することからはじめ、徐々に厳格化するといった段階的な運用が必要になるようだ。これは、DLP導入に失敗した先人からのアドバイスだという。運用時は、営業秘密に絞って運用をスタートさせ、効果検証を経て適用範囲を展開する予定だと聞いた。

　なお営業秘密は、個人情報保護法ではなく不正競争防止法によって保護されるものだ。対象になるためには、秘密として区別して管理されている「秘密管理性」、その情報が競争優位性をもって事業活動に有用であることを示す「有用性」、そして広く社会に知られていない「非公知性」という要件が満たされている必要がある。情報が持ち出されたとしても、それが秘密の情報として個別に管理されていなければ、保護対象にはならないので注意したい。

我が家の情報漏えい、SNS投稿にご注意

　家族イベントが増えると、子供の成長記録を撮影する機会も多くなる。写真や映像のデータがストレージにあふれ、仕事関係のデータの格納に影響するほどだ。

　周囲への近況報告がてらSNSに情報の一部を投稿することも少なくないが、妻から子供の顔をSNSにさらさないよう言われている。以前、ある写真を投稿して怒られたことがあり、それ以来、子供の顔が映らないよう細心の注意を払っている。プライベートなSNS投稿が、我が家では情報漏えいの最たるものとして扱われる。

　余談だが、子供だけでなく妻が映りこんだ写真もケースによっては怒られる。化粧の具合か、写っている顔の角度か、まあ理由はいろいろのようで。結果として、風景と飯テロが中心のSNS投稿が私の定番コンテンツになっている。ま、致し方ない。

読めば会社で話したくなる！　ITこぼれ話

　キーマンズネット取材班が発表会や企業取材などなどで見聞きした面白くて為になる話を紹介します。最新の業界動向や驚きの事例、仕事で役立つ豆知識に会議で話せる小ネタまで「読めば会社で話したくなる！」をテーマに記事を掲載。