【マイナンバー特集（後編）】内部犯行対策を徹底しよう〜念には念を、多角的な取り組みのススメ

組織のセキュリティ対策
2015.6.9
更新日：2018.3.15

マカフィーマーケティング本部ソリューション・マーケティング部スペシャリストの松久育紀です。

前回の記事では、マイナンバー制度開始に伴って企業に求められるさまざまな安全管理措置の中でも、「特定個人情報」の漏えい防止策にフォーカスを当て、中でも被害が大きくなりがちな内部犯行対策の重要性をご説明しました。

内部犯行対策の一つとして紹介した「DLP（Data Loss Prevention）」は、エンドポイントのPCやネットワークを流れるデータをモニタリングし、「個人情報」や「機密情報」に該当するデータがメールで送信されたり、オンラインストレージにアップロードされようとすると、ユーザーに警告を表示したり、その処理をブロックしたりします。故意の持ち出しはもちろん、うっかりミスによる流出も検出する仕組みです。マカフィーでは、「McAfee DLP Endpoint」に、12桁の数字からなるマイナンバーデータのフォーマットを検出できるテンプレートも用意しています。

また、設定されたルールに違反するアクションを各ユーザーが実行した場合、その情報がイベントとして管理サーバに記録されますので、管理者はどのユーザーがいつ、どのアクションを、どのデータに対して実行したのかを確認することができます。

100％はあり得ない、万一に備えた「暗号化」も

しかし、残念ながらセキュリティの世界に絶対はあり得ません。新たなデバイスやサービスの登場に伴って「出口」「裏口」ができてしまう可能性は十分にありますし、実務の都合上、ルールに何らかの例外が生じ、そこが糸口となってデータが流出するリスクもゼロとは言えません。

そこでご提案したいのが、DLPと暗号化の組み合わせです。マイナンバーを含むファイル、あるいはデータを扱うPCのハードディスク全体を暗号化することによって、万一データが外部に流出したり、PC本体を紛失するような事態が発生しても、元のデータに戻すことはできなくなります。データが第三者の手に渡って悪用されるという最悪の事態までは免れることができるでしょう。

先にご紹介したマイナンバー専用のテンプレートを活用すれば、PCに保存されているデータの中からマイナンバーを含む情報を洗い出し、自動的に暗号化するという一連の処理を簡単に行えます。やむを得ずデータをUSBメモリにコピーする際には強制的に暗号化する、といったことも可能です。

SIEMとの連携によって正規ユーザーの挙動を洗い出す

もう一つ考慮しておきたいのは、権限を持つ正規ユーザーによるデータの持ち出しです。DLPはルールに反する処理を見つけ出すのは得意ですが、権限を持ったユーザーがルールに従って持ち出してしまう場合、DLPのみでは不十分です。そんな時には、SIEM（Security Information and Event Management）製品との連携も一つの手です。

SIEMと言えば標的型攻撃に代表される外部からの侵入を洗い出すもの、というイメージが強いかもしれません。しかし、資産管理システムやサーバーなど、幅広いシステムからログを収集し、相関分析を行い現状を可視化するというSIEMの機能を活用すれば、不正侵入や内部ユーザーの不正な動きだけでなく、正規のユーザーによるシステム内部の動きも把握できるのです。「いつ、誰が、どんな処理を行おうとしたか」「不審な挙動がないか」が一目瞭然となるだけでなく、万一情報漏えいが発生してしまった場合でも、影響範囲や経路の特定を迅速に行うことができ、被害を最小化することが可能です。

始まりは「何を守るか」というポリシーから

以上、二回にわたってマカフィーのマイナンバー対応支援ソリューションをご紹介しましたが、最後に強調しておきたいことがあります。

それは、決して「DLPを入れたから大丈夫」とはならないということです。DLPにせよ他のソリューションにせよ、自社の資産を分類し、「どれが個人情報なのか、どれが守るべきものなのか」を明確にしておくこと、そして「守るべきものを、誰がどのように扱うべきか」というポリシーを定めることが第一歩となります。私たちが提供しているのは、そのポリシーをシステムに落とし込み、徹底していくためのソリューションですが、もし、このポリシー作成作業がちょっとしんどいなあ、と感じられる場合は、プロフェッショナルサービスを通じてお手伝いすることもできますので、ぜひご相談ください。

繰り返しになりますが、セキュリティに100％ということはあり得ません。ここでご紹介した対策に加え、人的対策、物理的な対策の中から自社のビジネスや文化に合ったものを組み合わせ、多層的に取り組んでいくことをお勧めします。それにより、マイナンバー対応のみならず、企業のセキュリティレベルを一段とアップさえることができるでしょう。