情報漏洩対策 ／ 多層防御自社の「重点」は、社員の「つい、うっかり」に表れる――教育と仕組み、両輪で守る情報漏洩対策
月末で立て込んでいて、宛先を確かめずにメールを送ってしまう。外出続きで、資料をつい私物のUSBに入れて持ち帰る。忙しくて、パスワードのメモを机に貼りっぱなしにする。「後で」と言ったまま、更新も感染チェックも後回しになる。あなたの職場にも思い浮かぶ顔があるかもしれません。
情報漏洩の多くは、高度なサイバー攻撃だけでなく、こうした社内の「つい、うっかり」からも起きています。「つい」は、便利さや習慣についやってしまうこと。「うっかり」は、不注意で気付かずにしてしまうこと。どちらも悪意はありません。人は完璧ではないからです。これは誰かを責める話ではなく、その前提に立って守りを考える話です。
情報漏洩の多くは、「つい、うっかり」から起きる
セキュリティというと、外からの攻撃を防ぐイメージが先に立ちます。もちろん攻撃対策は欠かせません。ただ、実際の漏洩は、内側の不注意や、ルールを十分に確認しないまま行われた持ち出しからも数多く起きています。IPAの「情報セキュリティ10大脅威」でも、内部不正や不注意による漏洩は、外部攻撃と並んで上位に挙げられています。
人は必ずどこかでつまずきます。どれだけ注意しても、忙しさや慣れの中でミスは起きる。だからこそ、「起きないようにする」だけでなく、「起きても被害にしない」を組み合わせて考える必要があります。
自社の「重点」は、社員の「ついやる行動」に表れる
セキュリティ対策は、入り口・検知・復旧・データと、幾つもの層に分かれています。ここで大切なのは、四つの層に決まった順番はないということです。どこから手を打つべきかは、守るべきデータと、取引先から求められる水準によって、企業ごとに異なります。全部を一度に完璧にするのではなく、自社にとっての「重点」を見極めて、そこから手を打つ。これが現実的な進め方です。
- ＊ 四つの層に、決まった順番はありません。 どこから手を打つべきかは、守るべきデータと、取引先から求められる水準によって、企業ごとに異なります。
では、その重点はどこに表れるのか。机上の理想論ではなく、現場で社員が「ついやってしまう行動」「うっかりしてしまう場面」に表れます。あやしいリンクのクリック、パスワードの管理、私物端末の持ち込み、ファイルの持ち出し——「つい、うっかり」は幅広く散らばり、どこに多いかは会社によって違います。
しかも、それは会社や部署の「いちばん忙しいところ」に表れやすいものです。メールのやり取りが多ければメール周りに、外出や残業が多ければファイルの持ち出し周りに。忙しさが集まる場所と、そこで扱う情報の大切さが重なるところ。そこにこそ、自社の重点が表れます。まず現場の実態を見るのが近道です。
まず、社員に「ついやってしまうこと」を聞いてみる
とはいえ、担当者が一人で「自社の弱点はどこか」を洗い出すのは、簡単ではありません。上からは見えない行動も多いからです。そこで有効なのが、社員に匿名でアンケートをとることです。担当者は用紙を配るだけで始められます。
聞くのは、知識を問うテストではありません。日々の業務の中で「ついこうしてしまう」場面に、当てはまるものがあるかどうか。例えば、次のようなことです。
社員に聞く「つい、やってしまうこと」の例
- 届いたメールのURLや添付をつい確認せずに開いてしまうことがある
- 会社と私用で同じ（似た）パスワードを使う、または付箋やメモに書いてしまうことがある
- 会社のファイルを私物のUSBや個人のクラウド・チャットに入れてしまうことがある
- メールの宛先や添付をつい間違えて送りそうになる・送ってしまったことがある
- 「感染したかも」と思っても、忙しくて報告や対処をつい後回しにしてしまう
- 離席時の画面ロックや、OS・アプリの更新をつい後回しにしてしまう
答えは「○」「×」で採点するものではなく、当てはまるものにチェックしてもらうだけです。このアンケートは、優劣をつけたり、犯人を捜したりするものではありません。「ついこうしてしまう」を可視化し、現状を把握するためのものです。答えること自体が、社員一人一人の気付きにもつながります。
そして、チェックが集中した分野が、自社が今向き合うべき人的リスクの重点です（設問はメール、パスワード、持ち込み、ファイルの扱い、報告、物理といった分野を代表する形で用意しています）。
教育だけでも、仕組みだけでも足りない
現場の実態が見えたら次は対策です。ここで大切なのは、教育と仕組みを「両輪」で進めることです。
社員教育によるリテラシーの向上は欠かせません。ルールを知り、意識を高めることで防げるミスは確かにあります。ただ、教育だけで人を完璧にすることはできません。だからこそ、意識しなくても、間違えても被害にならない環境を仕組みとして併せて用意します。
入り口を固めるファイアウォール、侵入に気付くEDR、業務を戻すバックアップ、そしてデータそのものを守る暗号化。どの層の対策も突き詰めれば「人の注意力だけに頼らない」方向に働きます。
教育で意識を上げ、仕組みで受け止める。この両輪がそろって、守りは現実的なものになります。なお、どんな仕組みも「これで100％安全」と言い切れるものではありません。自社の業務に合わせた設計があって、はじめて効きます。
「つい」を教育と仕組みで受け止める
一つ一つの「つい」には、教育と仕組みの両方から手を打てます。しかも仕組みは、入り口・検知・認証・データと、層をまたいで用意できます。
- あやしいリンクをクリック
- ［教育］見分け方の周知
［仕組み］メールやURLのフィルター、EDRで踏んでも検知・遮断する - パスワードの使い回しや付箋
- ［教育］管理ルールの徹底
［仕組み］多要素認証やパスワード管理で、盗まれても入られにくくする - 私物スマートフォン・私用PCの持ち込み
- ［教育］ルールの明確化
［仕組み］デバイス制御で、つながせない・広げさせない - ファイルの持ち出しや誤送信
- ［教育］宛先や持ち出しの確認
［仕組み］暗号化で漏れても中身を読ませない
中でも、ファイルの持ち出しや共有といった「データの取り扱い」は見落とされやすく、暗号化が現実的な一手になります。ファイルを作成した瞬間に自動で暗号化しておけば、社員が特別な操作を意識しなくても守られます。
データの層の詳しい考え方と製品の選び方は、専用のページと資料でご紹介しています。
メーカーに縛られず、運用まで
どの層の、どの仕組みが自社の重点に効くかは、企業ごとに違います。大塚商会は、特定のメーカーやサービスに縛られず、お客様の使い方と優先度に合わせて、必要なところから組み合わせてご提案できる立場にあります。
そして、教育も仕組みも入れて終わりではありません。運用のルールが業務に根づき、続けて、初めて守りとして機能します。大塚商会は、セキュリティの監視や運用のサービスもあわせて手がけており、導入後の運用まで含めてお任せいただけます。
派手な新しさよりも確かに続く守りを。5年後も今日と同じように業務が回っている状態を一緒に設計していきます。
自社の「重点」を、まず知る
自社の重点は、現場の「つい」に表れます。まずは、本文で挙げたような場面に、自社にも思い当たる行動がないか振り返るところから始めてみませんか。