セキュリティ対策虎の巻（第4回）内部脅威対策は「アクセスログ」より始めよ

　内部犯行のリスクには、機密情報を抜き取られるだけでなく、データの破壊、消失の危険性もある。重要データを保存するサーバー専用機の導入や世代管理を含めたデータバックアップの仕組みを検討したい。もちろんログが取れることがソリューション選択の大前提となる。

　バックアップといえば「データは社員のパソコンに保存し、バックアップが必要なデータは外付けのハードディスクに保存しているから大丈夫」という経営者もいるのではないだろうか。

　外付けのハードディスクではデータを簡単に改ざんしたり、盗んだりできる。ビジネスの重要なデータを改ざん、消失させないためにも、データ保存専用に設計されたサーバーやクラウドサービスのほうが安全だ。

　内部犯行対策においては、ログ管理の仕組みを確保した上で、正しいデータを確保するためにデータバックアップも用意する。これが最低限の対策となる。加えて、ユーザー認証やアクセス権の設定も重要だ。許可されたユーザーのみが重要情報にアクセスできる仕組みをつくる。内部犯行対策は重要情報を扱うだけに、協力会社には信頼できるパートナーを選びたい。

　例えば、NTT西日本では、企業の重要データ管理やバックアップ対策を支援するソリューションとして「データ安心保管プラン」（※1）を用意している。このうちスタンダードプランでは、ネットワークに直結しているストレージ「NAS」をベースに、セキュアな閉域網である「フレッツ・VPN　ワイド」（※2）のネットワークを介して拠点間でデータを共有する。データの一括保管管理やアクセス権の設定もできる。さらに、データのクラウド上へのバックアップも自動で実施し、世代管理も可能だ。

　データ安心保管プランを活用すれば、いつ、誰が、何をしたのか、ファイルへのアクセス履歴を記録し、データの改ざんなど不正操作を抑止できる。問題発生時の証拠としてログを利用し、内部犯行者の推定も行える。

セキュリティー教育も欠かせない

　内部犯行を防ぐシステムの仕組みと同じくらい重要なのは、社員の教育である。一般的な社員教育と異なり、セキュリティー教育の難しいところは、売り上げ増加や業務効率化といった企業の命題に直結しにくいことだ。だが、セキュリティー対策の不備で顧客情報や機密情報が漏えいしたり、重要資産が消失したりすれば、金銭ではあがなえない大きな損害を被る。

　定期的に研修を行い、社員のセキュリティー意識を高めておこう。社員の意識が高ければ、グループ会社、協力会社の関係者も「ここはセキュリティーが厳しい」という印象を持つ。関係者による内部犯行の抑止にもつながる。

　経営者は社員を信用したい。しかし、1人でも悪意のある関係者がいれば、重要情報を持ち逃げされたり、データを改ざんされたりするかもしれない。内部犯行対策には、ログ管理とデータバックアップ、そしてセキュリティー教育が不可欠である。

※1 フレッツ 光ネクスト等・プロバイダーとの契約・料金が必要
※2 フレッツ 光ネクスト等の契約・料金が必要

※掲載している情報は、記事執筆時点のものです