新発想のセキュリティソリューション「Digital Guardian 3.0」■第1回■

2005年4月に個人情報保護法が全面施行され、多くの企業が顧客情報など重要な情報資産の「管理の徹底」に取り組んでいる。しかし「個人情報流出事件」は後を絶たない。少し古い話になるが、ソフトバンクBBの大規模な個人情報流出事件をはじめ、銀行や消費者金融など金融機

特集特集

2005年7月19日（火） 22時40分

2005年4月に個人情報保護法が全面施行され、多くの企業が顧客情報など重要な情報資産の「管理の徹底」に取り組んでいる。しかし「個人情報流出事件」は後を絶たない。少し古い話になるが、ソフトバンクBBの大規模な個人情報流出事件をはじめ、銀行や消費者金融など金融機関からの100万人単位での個人情報流出事件など、すでに発生した事件・事故をあわせると、現在までに「のべ1000万人以上」の人たちの個人情報が流出したとされる。日本国民の「約10人に1人」は個人情報流出事件の被害者になっているのだ。後を経たない情報漏えい事件を防ぐ手立てはないものか。そこで新発想のセキュリティソリューションを紹介しよう。

●情報セキュリティにおける「敵は組織内部にあり!」内部犯行を防ぐニューコンセプトのソリューション

一説によると情報漏えい事件の80%は「内部犯行」であると指摘されている。パートやアルバイト、派遣社員や契約社員など雇用形態も複雑化し、過去に就業していた人物が退社後も「まだ生きている」IDやアカウントを使って社内ネットワークに不正に侵入して情報を盗み出すといった事例もあるようだ。これらを防ぐためには、正社員といえども重要情報にアクセスできる権限を制限し「必要以上の権限を与えない」という情報コントロールが不可欠である。しかし、そういった手立てもある程度の防衛策にはなるが、社員の「意図的な情報漏えい」を防ぎ切ることはできない。内部の人間にとっては、その気になりさえすれば重要情報を持ち出すことは「極めて簡単なこと」なのである。

このほど三井物産セキュアディレクションが発売する「Digital Guardian 3.0」は、そういった「内部犯行を防ぐ」情報保護対策ソリューションとして注目されている。社内ネットワークや電子メールシステム、クライアントパソコンなどについて、一般社員や管理者の操作を常時モニタリングし、あらかじめ定義したセキュリティポリシーに違反する行為をリアルタイムに自動検出して制御してくれる。たとえば、USBメモリなどのリムーバブルメディアに重要な情報をコピーしようという「内部犯行」が実行されようとした場合、それらの操作を常時モニタリングし「情報のコピーは禁止されています」とブロックしてくれる。重要な情報資産が「どのように扱われるのか」、その扱われ方をモニタリングし「データがどう扱われるのか、データレベルでセキュリティを実行してくれる」というニューコンセプトの情報セキュリティソリューションなのである。これは内部犯行のような悪意のある情報漏えいだけでなく、従業員の不注意による意図しない(悪意のない)漏えいに対しても有効である。

内部犯行や不注意による情報漏えいが多くの原因となっている情報セキュリティにおいて、開発元であるアメリカのVerdasys社(バーダシス社)のCEOであるセス・N・バーンバウム氏は「大切な情報がどう扱われるのか。『利用されるその時点=Point of Use』での対策が最も効果的かつ重要である」と指摘する。そして、Digital Guardian 3.0こそが、その「Point of Useでデータレベルでの対策が可能なソリューション」であることを強調する。

●情報が「どう扱われるのか」こそが情報セキュリティの根幹情報が扱われるその瞬間=Point of Useを制御する

さて、「Point of Use」とは何か。バーンバウム氏によれば「ある利用者がデータにアクセスし、何らかの処理をしようとする、まさにその瞬間」であるという。どんなに重要な情報資産であっても、外部からの不正アクセスや内部犯行によるアクセスなどを含めて、「どこからもアクセスされていない状態」であれば「安全は確保されている」状態といえる。「情報がStill(静止している状態)であれば安全だが、Active、つまり活用され始めると、その瞬間にリスクが発生する」(バーンバウム氏)のである。すなわち、正規のアクセスであれ不正アクセスであれ、情報にアクセスがあり「何らかの処理が実行されようとしたら」その瞬間にはリスクが発生するというのだ。

ある重要な情報資産の取り扱いについて考えてみよう。もちろん社内持ち出しやコピーは禁止されているとする。社内規定でいくら決められていても、セキュリティ技術でアクセス制御がかけられていても、その情報にアクセスがあった瞬間からUSBメモリなどのリムーバブルメディアやノートパソコンのハードディスクへの不正なコピー、電子メールへの添付などのリスクはゼロとは断言できなくなる。そこで、それらの重要なデータを誰がどのように利用したか明確にすること、そして、データを扱う人間に法令遵守(コンプライアンス)、社内規定遵守、リスクの存在などの問題意識を常に持たせることが重要となってくる。Digital Guardianは、社員や管理者の操作をモニタリングするだけでなく、一人ひとりに、そういった問題意識を徹底させることのできるソリューションでもある。

【執筆：下玉利尚明】

──
この記事には続きがあります。
全文はScan Security Management本誌をご覧ください。
http://www.ns-research.jp/cgi-bin/ct/p.cgi?ssm01_ssmd

《ScanNetSecurity》