情報漏えい対策製品を浸透させる使い方、シマンテックが説明

シマンテックは、自社の情報漏えい対策製品をモデルケースに、情報漏えい対策を企業内へ浸透させるための使い方を説明した。

[國谷武史，ITmedia]

　シマンテックは9月29日、情報漏えい対策製品を企業や組織内に定着させるための方法を紹介する記者説明会を開催。同社製品を利用して情報漏えいリスクを軽減していくポイントを解説した。

　同社では「Symantec Data Loss Prevention」という情報漏えい対策製品を展開している。同製品は、暗号化やデジタル著作権管理、アクセス制御といった情報漏えいを抑止する個々の技術を内包する包括的なソリューション製品だという。同様の製品はセキュリティ企業他社でも展開しているが、シマンテックはストレージとクライアント、ネットワーク（メールシステムなど）の3つの領域について、データが流通するポイントを広範にカバーできるのが特徴だと説明している。

製品の構成イメージ

　Symantec Data Loss Preventionは、3つの領域でそれぞれに機密データを検出するモジュールとデータやポリシーを管理するモジュール、そして各モジュールを一元管理するコンソールで構成されている。機密データの検出では、構造化されたデータを対象にする「Exact Data Matching」、非構造データを対象に指定条件と整合する割合に応じて検出する「Index Document Matching」、ファイルの特徴（形式や名称など）やキーワード、ユーザーなどの条件で検出する「Described Content Matching」という3種類を利用。数億件以上のレコードや、1サーバ当たり500万件以上のファイルなどを検出できるという。

　同製品は米Symantecが2007年に買収したVontuの製品で、2001年から提供されている。ユーザー企業は、従業員数が数千人規模以上の中堅・大手企業が中心となっている。

　従来型の対策技術と同社製品の違いについて、コンサルティングサービス本部の山本秀宣氏は、「既存技術は運用時の負担が大きく、リアルタイムに対処するのが難しい。結果としてルールやポリシーが形骸化されがちになるが、Vontuではユーザーの利便性を維持したまま、リスクを軽減できる」と述べた。一方で組織全体として高い効果を得るには、長期間にわたってデータ利用の現状を可視化し、段階的にルールやポリシーを最適化していく必要がある。

設定可能な主なポリシーの内容

ユーザーへの啓発で強化する

　例えば、データを適切に保存しなかったことで公開サーバ上に顧客リストがアップされてしまった場合、同製品が該当データを自動検出すると一時保管用ファイルにデータを移動し、公開サーバ上にあるファイルに警告メッセージを記載して、ユーザーなどに知らせる。

　また、PC上に従業員が作成した重要ファイルが残されている場合は、エージェントツールがファイルを自動検出してユーザーに削除などの操作をするように警告する。メールに重要データが添付した場合や、USBメモリなどへデータ保存しようとする場合でも、同製品が送信や書き込み操作を強制的にストップしてユーザーへ警告メッセージを表示する。こうしたポリシーや対応方法は管理者などが詳細に指定することができるが、重要なポイントはユーザーに情報管理の重要性を理解させることだという。

警告はメールやポップアップで通知される。簡易アンケートは情報セキュリティの重要性を意識してもらう狙いがある

　製品担当スペシャリストの跡部靖夫氏によれば、ユーザーへの警告では簡易アンケートの機能を実装でき、なぜユーザーが情報漏えいにつながる恐れのある行為をしたかについて尋ねることができる。質問内容は、「うっかりミス」「上長の許可」「適切な行為」といったものが数種類用意されている。

　山本氏は、包括的な機能を持つ情報漏えい対策製品では、まず情報漏えいリスクの高い行為（インシデント）がどれくらい発生しているかを把握し、実情に応じたルールやポリシーの策定、見直しというプロセスを繰り返すことが重要だと話す。

　ユーザー企業の多くは、2〜3カ月ごとにルールやポリシーを見直し、1年間でインシデントの発生件数を10分の1程度に減少させているという。導入当初は、インシデントへの緊急対応やルールやポリシーの最適化にある程度の人材や時間を投資する必要があるが、最終的には自動化を進めることで運用担当者を1人以下にすることも可能だという。

　当初から全社規模で導入・運用するというよりも、部門単位や分野単位でまず導入し、その結果を見て全社展開するケースが多い。国内ユーザーではストレージを対象に導入して、システム開発などの際にテスト使用された重要データが残されていないかをまず確認したいというケースが目立つ。

　情報漏えい対策製品を機能させるポイントについて、山本氏は「実際に事故が起きてしまえば緊急対策として全社規模で迅速に展開しなければならないが、平時では情報セキュリティ担当役員なども参加するプロジェクトなどで、組織内へ確実に浸透させていくことが大切」と述べている。

企業向け情報サイト「ITmedia エンタープライズ」へ

過去のセキュリティニュース一覧はこちら