ヘルプデスクのスタッフは、比較的ネットワークへの侵入口になりやすいということを示す最近の調査結果があります。しかしIT担当者にとっては驚くにあたらないでしょう。問題をすばやく解決し、顧客満足を維持するためには、私たちは時に煩わしいセキュリティ基準を飛び越えることがあります。

調査の回答者の大多数が、企業の従業員はヘルプデスクでの確認のために、名前や部署、社員番号といった基本情報を使うと回答しています。これらの情報はソーシャルエンジニアにとって恰好の標的となり、特に基本情報が押さえられてしまうと、他の関連情報も芋づる式に取得されてしまいます。そしてこの調査の回答者たちもそのことを理解しており、69%の回答者が、ヘルプデスクのセキュリティにおける最大の脅威はソーシャルエンジニアリングだと答えました。

またこの調査は、51%の回答者がヘルプデスクのセキュリティに対する姿勢が甘く、ヘルプデスクスタッフの教育やテクノロジの強化にフォーカスしていないということも明らかにしています。自社のヘルプデスクのセキュリティが堅牢であると答えたのは10%に過ぎず、27%はセキュリティポリシーが脆弱であると回答しました。

これだけヘルプデスクが狙われやすい理由の1つは、ヘルプデスクのスタッフが機密情報を扱っているということです。ヘルプデスクのデータベースにはユーザのインシデント履歴があり、そこにはヘルプデスク宛に転送されたエラーコードの例を示すメールなども含まれます。そこにはオリジナルのメールがそのまま残っている可能性があり、本来はメールの受取人だけに宛てた情報がデータベース上にも記録されることになります。この情報と、ヘルプデスクスタッフによるメモを併せると、場合により完全な個人プロフィールができあがってしまいます。

ソーシャルエンジニアリングに関連するリスクを減らす方法の1つは、可能な限り多くの作業を自動化することです。パスワードのリセットやステータスチェックなどの作業は、ヘルプデスクスタッフが行う必要はありません。これらの作業を自動化することで、なるべくヘルプデスクスタッフが侵入ポイントにならないようにします。また、テキストメッセージや登録された電話番号への折り返しなど、認証レイヤを追加することも有効でしょう。また、技術面または意識面でのスタッフトレーニングを継続的に行うこともお勧めです。

最後に付け加えるなら、企業のセキュリティプランにヘルプデスクのセキュリティを必ず検討するようにしてください。ヘルプデスクの作業プロセスやソフトウェアに対し、セキュリティチェックを行ってください。筆者のかつてのクライアントでは、ヘルプデスクのソフトウェアの構成が原因でスパムリレーのホストにされる事態に陥りました。エンジニアが問題に気づくまで、スパマーはこのヘルプデスクを介して大量のスパムメールを送信しました。この会社にはデフォルトのメールアカウントに対する扱いの具体的な規定があったにもかかわらず、ヘルプデスクチームはネットワークにソフトウェアをインストールした後、アカウントをデフォルトから変更していなかったことに気づかなかったのです。

御社のヘルプデスクでは、どのようなセキュリティポリシーが適用されていますか？スタッフに対し継続的なトレーニングを行っていますか？

本稿は、バラクーダネットワークスのWebサイトに掲載されている『バラクーダラボ』8月20日付の記事の転載です。