情報漏えい防止には"ヒューマンエラー"をカバーする対策が重要

情報漏えいの原因トップは"ヒューマンエラー"

ネットワーク技術の発達により、企業のビジネススタイルもオフィスの中だけで仕事を行う、というものから、オフィスの外でもタブレット/モバイルノートPC、スマートフォンなどのスマートデバイスを活用して仕事を行う、というものに変化してきている。

その一方で、手軽に持ち運べるというこれらの業務端末のメリットが逆にリスクとなるケースも増えてきている。悪意のある組織内外の人間もしくは従業員のミスにより、企業や地方自治体などから個人情報をはじめとした重要なデータが流出してしまい、企業にとっても社会にとっても重大な情報漏えい事故へと発展する事案が後を絶たないのだ。

NTTデータにて、情報セキュリティに関するさまざまな研究開発、脆弱性診断、コンサルティング、自社セキュリティ施策の実施、インシデント対応などに長年従事し、情報漏えいによる被害や情報セキュリティインシデントの発生確率の調査、被害の定量化についての調査活動を行っている大谷尚通氏は、こうした背景について次のように語る。

「企業を対象にした情報漏えいに関する調査の結果を見ると、ここ数年続けて最も多い原因となっているのがPCやタブレットといった業務端末の紛失によるもので、例えば私がセキュリティ被害調査ワーキンググループのリーダーを務める日本ネットワークセキュリティ協会(JNSA)の調査では、情報漏えいの約4割ほどが、紛失に関する事案で占められています。さらに、2013年の情報漏えいインシデントの件数は1388件、想定損害賠償総額は1438億7184万円に及んでいます。情報漏えいインシデント一件当たりの平均想定損害賠償額では1億926万円ですので、最多の原因である紛失に対する対策は特に重きを置くべきだと言えます。もっとも企業側もPCの持ち出しの制限や入退室管理の徹底、持ち出す際のヒューマンエラーを前提とした暗号化といった対策が進んだため一時よりは件数そのものは減っているのですが、ある一定ラインより減らないことの理由として、ヒューマンエラーが挙げられます。実は、サーバやネットワークといったある意味"表側"のセキュリティ対策と違い、内部の人的側面にかかわるセキュリティについては、対策を講じた分だけリスクをゼロに近づけられるというものではないのです。なぜならば、人間はどうしてもどこかでミスをおかしてしまうものだからです」

業務端末の盗難・紛失時に情報漏えいを防ぐには

では、業務端末の紛失・盗難に起因する情報漏えいを防ぐにはどうすればいいのだろうか。最も一般的な対策とされているのが、モバイル端末管理ソリューション(MDM)の活用である。例えば、電車内でタブレットを置き忘れてしまった場合にも、MDMを導入していれば、管理者が業務端末のロックや内部データの消去を行うことで、情報漏えいを防止することができるのだ。ただしほとんどのMDMは、業務端末側の電源を切られてしまうと遠隔操作が行えなくなることから、そうした事情を熟知した人間が業務端末を窃取した場合には効果が期待できない。しかし、そうした穴をも埋めるソリューションも登場してきている。

例えば、富士通が提供しているリモートデータ消去「CLEARSURE」は、PCやタブレットの電源がオフの状態であっても、遠隔からのロックやデータ消去が可能だ。その秘密は、専用のモジュールが、バッテリーとともにPCに内蔵されている点にある。人口カバー率の高さで知られる3G/LTE(NTTドコモ)の回線を使うため、業務端末がどこにあろうとほぼ遠隔管理が行えるのも大きな特徴となっている。現在「CLEARSURE」は、富士通の法人向けノートPC「LIFEBOOK」シリーズや法人向けタブレット端末「ARROWS Tab」シリーズに対応している。

手のひら静脈認証センサーを内蔵したPC、タブレット

大谷氏は、ヒューマンエラーによる情報漏えいの防止について、「セキュリティ教育に限界があるのであれば、やはりシステムでカバーするしかないでしょう。例えば、業務端末のログイン認証などです」と話す。

大谷氏によると、起動時のIDとパスワードを業務端末に設定しておくだけでも、紛失時の不正ログインに対してある程度の効果が期待できるという。ただし、短く単純なパスワードでは破られる危険性が高い。そのため、十分に長く複雑なパスワードが理想的なのだが、そうなると利用者の利便性を損なう恐れが出てきてしまうのだ。

そこで最近増えているのが、IDと本人が記憶しているパスワードに加えて、別の要素を追加して認証を行う「二要素認証」だ。追加する要素としてはICカードやトークンを用いたワンタイムパスワードがよく知られている。ただしこの場合、専用の機器やシステム・ネットワークの変更などが必用となり、導入にはそれなりのコストや手間がかかってしまう。そのため、ITコストの抑制圧力が強く、またITとセキュリティに精通した社員が不足しがちといったように、予算、人員ともに厳しい状況に置かれている多くの中小規模の企業の場合はハードルが高いのも事実だ。

そこでもう1つの選択肢として挙げられるのが、人間の指紋や静脈などを使う「生体認証」によるログインである。現在、生体認証は、パスワード認証にはつきものの文字列の定期変更など複雑な運用や、運用にかかる膨大なコスト、ユーザビリティの低下などを招くことなくハイセキュリティかつ便利なセキュリティを実現できるソリューションとして、サーバルームの入退室管理や銀行のATM、公的機関などを中心に利用が広がっている。ただし企業における業務端末の認証手段としてはワンタイムパスワードと同様に一部の企業・自治体での採用にとどまっているのが現状だ。

しかしながら、先に挙げた富士通の法人向けノートPC「LIFEBOOK」シリーズや法人向けタブレット端末「ARROWS Tab」シリーズであれば、個人認証デバイスとして手のひら静脈センサーを内蔵したモデルが提供されており、ユーザーがWindowsや業務システムにログインする際に使用できる。こうした新しい認証手段を導入するとなると、多額のイニシャルコストがかかると思われがちだった。しかしスマートカードなどに比べれば、カード再発行や更新といったコストがかからないので、ランニングコストはかからない。富士通ではUSBで接続できる外付け型のセンサーやマウス・キーボード内蔵センサーもラインアップしており、すでに導入済みのPCでも使用可能だ。また、センサー内蔵PC/タブレット、外付けセンサーに加えて、専用サーバと専用ソフトも提供されており、既存の業務システムを改修せずに簡単・低コストに導入できるようになっている。常に情報漏えいにともなうリスクにさらされる経営者にとっても、セキュリティ対策をリードする情シス担当者にとっても、業務端末を安全なものにするための投資として十分に視野にいれるべきものになるだろう。

「生体認証のメリットについてはだいぶ前から語られていましたが、やっと実用化の動きが活発になってきたと言えるでしょう。とりわけ静脈は体内情報なので偽造することが難しく、また認証時にセンサーに直接触れないため、衛生的で心理面のハードルも低いことから、多くの人々が利用しやすいと言えるでしょう」と大谷氏はコメントする。 大谷氏は、PCやタブレットといった業務端末への不正ログインよりもさらに深刻なリスクとして、昨年より深刻な情報漏えい事件を引き起こしているパスワードリスト型攻撃などに起因するアプリケーションへの不正ログインを挙げている。その詳しい理由について、それらのリスクも踏まえて業務端末のセキュリティ対策を施すことができる生体認証を用いた最新のソリューションについては、次回の記事で詳細に解説したい。

業務端末の便利で安全なモバイル運用を実現する富士通のソリューション

1. 手のひら静脈認証を内蔵したノートPC/タブレットを提供

富士通では、高い認証精度と高速認証の両立を実現した超小型の手のひら静脈認証センサーを内蔵した法人モバイルノートPC、タブレットをラインアップしている。これにより、複雑なパスワードによる認証が不要になり、PC/タブレットに手のひらをかざすだけで、ログインすることが可能になる。

富士通では、すでにノートPCやタブレットに内蔵可能な手のひら静脈認証センサーを実用化しており、法人向けに提供している

2. 紛失・盗難からノートPCを守る「CLEARSURE(クリアシュア)」

富士通では、無線WANモジュールやPHSモジュールと組み合わせて用いるリモートデータ消去ソリューション「CLEARSURE」を提供することで、移動している間などにパソコンの紛失・盗難が生じた場合にも、すぐにそのパソコンに対して、遠隔操作によりHDD/SSD内のデータ消去やパソコンのロックなどを実施することが可能。パソコンの電源がオフの状態でも通信モジュールは管理サーバからの指示を受け取ることが可能なため、3G/LTEの通信網を活用することで、遠隔操作でデータ消去やPCロックを実行することができ、情報漏えいを防ぐことができるようになる。