新人必見！ 知ってる人もあらためておさらい！ 情報セキュリティについて知っておきたいこと（その2）：ハギーのデジタル道しるべ（2/2 ページ）

[萩原栄幸，ITmedia]

8．USBメモリやスマートフォンを業務用PCに勝手に接続すると……

　業務用PCにもUSBポートがあり、Wi-FiやBluetoothが付いているので、一般的に使われている便利な周辺機器を使ってみたくなる気持ちは分からなくはない。しかし、PCにUSBメモリや外付けHDD、DVD-ROMドライブ、スマートフォンなどのデバイスを接続するのは、情報セキュリティ上のリスクがあることなのだと認識してもらいたい。そもそもの話として、企業側で簡単にいろいろなデバイスと接続できてしまうシステム構造自体を何とかする必要はあるのだが、そこまで手が回っていない企業も少なくない。

　なぜ業務用PCに不用意に周辺機器をつないではいけないか。例えばAppleの音楽プレーヤー「iPod」が出たとき、ACFE（米国公認不正検査士協会）では、充電をするフリをして企業情報を盗むこのデバイスについて警告を出した。あるアプリを使うと、Windowsではコピー不可のファイルもコピーし放題ということが判明したのだ。実際に何件かの不正利用があったという。

　また、落とし物のように見せかけたUSBメモリをサイバー犯罪に利用する例もある。2015年にCompTIAが米国で実施した実験では、公共の場所に放置した200個のUSBメモリが、5個に1個の割合で誰かに拾われ、拾った人は、USBメモリを端末に挿入し、テキストファイルを開いたり、内容不明のリンクをクリックしたり、記載されていた電子メールアドレスにメールを送ったりするという結果が報告されている。悪用されれば、企業内のシステムへの不正アクセスを許してしまう。

　このほかにも、社内のイントラネットに接続されたPCを、勝手に持ち込んだ自前のモバイルWi-Fiルーターにつなぎ、こっそり外部のインターネットにアクセスしていた強者を実際に知っているが、こんな行為は場合によっては懲戒免職ものだ。注意してほしい。

9．「警察からの電話」でも、安易に回答してはならない

　電話番をしていて、警察を名のる人から電話を取ったとしよう。「○○警察署の△△と申します。実はある凶悪犯罪の被疑者について調査をしています。××市に住む□中□樹が御社の会員であることを確認しています。早急に彼の情報を教えていただきたい。すぐにでも身柄の確保をしないと被害者がもっと増える事になる可能性もあるので、今すぐに詳細を調べてください」――。こんなことを言われたら、どうすべきか。

　たまたまそのとき、フロアに事情が分かる人が誰もいなかったので、電話を受けた人が会員情報ファイルを閲覧し、該当の被疑者の情報が実際にあったので、口頭で伝えた、という事件があった。こうしたことは、間違ってもやってはいけない。この件は、その後大きな騒ぎとなり、謝罪会見を開く羽目になってしまった。

　何が問題だったのか。まず「警察」と名のった人物は本当に警察だったのか、確認ができていない。そして、自分の判断で個人情報を外部に伝えてしまった。ちなみに、多くのサービスの管理者は、本当に警察要請があっても、それが法的に強制でなければ指示には従わないことも多々あるという。それくらい、情報はしっかり管理しなければならないのだ。

　こういう事案は、自己判断しないことだ。そして、相談できる上司などが誰もいなければ、まずは用件を聞いた後「調査にはお時間がかかりますのでお電話もしくはFAX番号をお教えください。またこの様な案件に関しましては規則によりその場で折り返すことが出来ません。ご了承ください」といった形で対応するのがいいだろう。

　こうした事例はまだたくさんあるので、次回も引き続きお伝えしていきたい。

萩原栄幸

日本セキュリティ・マネジメント学会理事、「先端技術・情報犯罪とセキュリティ研究会」主査。社団法人コンピュータソフトウェア著作権協会技術顧問、CFE 公認不正検査士。旧通産省の情報処理技術者試験の最難関である「特種」に最年少（当時）で合格。2008年6月まで三菱東京UFJ銀行に勤務、実験室「テクノ巣」の責任者を務める。

組織内部犯罪やネット犯罪、コンプライアンス、情報セキュリティ、クラウド、スマホ、BYODなどをテーマに講演、執筆、コンサルティングと幅広く活躍中。「個人情報はこうして盗まれる」（KK ベストセラーズ）や「デジタル・フォレンジック辞典」（日科技連出版）など著書多数。