情報活用時代に向けたセキュリティ対策を探る：ITmedia エンタープライズ セミナーレポート（1/3 ページ）

クラウドやスマートデバイス、ソーシャルメディアの普及からビジネスでの積極的な情報活用が叫ばれる一方、セキュリティとのバランスをいかに確保するかも課題になっている。2012年12月開催の「ITmedia エンタープライズ ソリューションセミナー」では情報活用時代におけるセキュリティ対策のヒントが紹介された。

[編集部，ITmedia]

インシデント前提の運用

三輪信雄氏

　S&Jコンサルティング代表取締役社長の三輪信雄氏は、機密情報を盗み出す標的型攻撃を題材にインシデントの発生を前提とする情報セキュリティ対策の重要性を提起した。

　例えば、標的型攻撃では「未知のウイルス」が頻繁に用いられる。だが、ウイルス侵入を防ぐことを重視した既存の対策が通用しない場合が多い。今後の対策には、脅威が侵入していることも念頭において、脅威の発見と被害の軽減に必要な行動を迅速にとれるアプローチが求められるという。

　そのためには、パッチ適用や定期的なウイルススキャンなど、既存対策を確実に運用していることが不可欠になる。そしてシステムやネットワークの多数のログを監視し、相関分析から未知の脅威を検知する仕組みにする。平時はこれをLAN管理者などが担い、大規模感染など現場対応が困難な場合には専門家の支援を得るといった、状況に応じてエスカレーションしていく運用体制がポイントになる。

　ただし、これらを実現するには人材やスキル不足、経営者などの理解不足といった課題もある。三輪氏は、「標的型攻撃対策に特効薬は無い」と話す。重要な情報資産を保護するには、まずフルスキャンを定期的に実施するなどで脅威の兆候を見つけられるようにする。日々のセキュリティ対策を確実に運用することが不可欠だとアドバイスした。

「目的」を見失うことなかれ

大木豊成氏

　企業のスマートデバイス活用を支援するイシン代表取締役の大木豊成氏は、「漠然としたセキュリティの不安はモバイル活用を失敗させる」と話す。導入自体が目的化したり、セキュリティを優先し過ぎたりすれば、その効果を十分に享受できないという。

　スマートデバイス活用の本来の意義は、オフィスの内外で情報を活用・共有することによる業務効率化や生産性向上だろう。スマートデバイスのような新しい環境にはリスクも伴うが、何が不安なのか分からないままに議論が進むことで利便性が失われ、本来の導入目的が達成されなくなる。

　導入を成功させるには、スマートデバイスを熟知する人がリーダーシップを発揮し、セキュリティやコストを含めて全体のバランスを考えるのが望ましいという。特にセキュリティ対策は「手段」であり、なるべくシンプルに「紛失時に何が困るか」「PCの場合はどうしたか」「業務フローは準備されているか」「どんなデータがどのくらいか重要か」などを検討していく。

　ただし、これらはIT部門だけでは成し得ず、情報を利用する現場のユーザーを巻き込み、経営層が適切に意思決定できる仕組みであることがポイントになる。また、「BYOD」では情報活用による業務効率化という目的達成にとって何が必要かを、より慎重に見極めることが不可欠だという。

不正の予兆を早く知る

萩原栄幸氏

　企業絡みの犯罪の実に7、8割を内部不正が占める。日本セキュリティ・マネジメント学会常任理事の萩原栄幸氏は、内部不正の抑止には「犯行を難しくさせる」「捕まるリスクを高める」「犯行の見返りを減らす」「犯行のきっかけを減らす」「犯行の言い訳を許さない」ことが重要と解説する。

　IPAの調査では内部不正への気持ちを低下させるものとして、社員の54.2％が「社内システムの操作の証拠が残る」を挙げたものの、経営者や管理者は皆無だった。「アクセスログが残る」でも社員は37.2％だが、経営者などは7.3％にとどまる。このギャップが注目される。

　内部不正への対策はログの管理が基本になる。不正行為は表面的には正規の権限が正しく行使されるので、それが不正だと判断するのが難しい。そこで対策を多層的に講じ、各ポイントのログを俯瞰して分析する。１つ１つのログは機微でも、それを大局的に活用すれば、不自然な点が浮き彫りになってくる。

　萩原氏によれば、内部不正の初期には小規模に行われるが、だんだんと規模が膨らんでいく。最後には企業が倒産しかねないというほど深刻な被害をもたらすという。それを防ぐには、上述の5つのポイントに加え、不正を早期発見できるようにすることが重要だとアドバイスする。