連載
» 2019年03月12日 07時00分 公開

半径300メートルのIT:退職後に突然「不正」を疑われないために、潔白な社員が今やっておくべきこと (1/2)

“終身雇用”という言葉がもはや幻想になりつつあるいま、人の出入りは止められません。退職や異動の前後に思わぬトラブルを防ぐための“ITセキュリティ的に重要なポイント”を、この際見直してみましょう。

[宮田健,ITmedia]

「退職エントリー」書く前に、書かれる前にすべきこと

 春はお別れの季節。多くの人が次の挑戦へ旅立っていきます。ことIT業界においては、いろいろな理由で転職をする際に“退職エントリー”と呼ばれるブログ記事を書いていく風習(?)があります。そんな話を編集部でしていたら、私の古巣である@ITで「退職エントリーを書かれる前に実践したい、エンジニアが辞めないチームの作り方」という記事が公開されていました。特にエンジニアは、なかなか採用できない貴重な人材ですので、人材不足にお悩みのマネジャーはぜひご一読を。

 “終身雇用”という言葉がもはや幻想になりつつあるいま、人の出入りは止められません。基本的には退職や異動が円満に進むことを誰もが願っているはずです。今回は、異動や退職の前後に思わぬトラブルに見舞われないようにするために押さえておくべき“ITセキュリティ的に重要なポイント”を見直してみましょう。

システムの“リスク”を見直そう――従業員に異動、退職される側に必要な作業

 まずは“従業員に退職される側”の心構えを。特に中小企業の多くでは、どうしても運用プロセスの中で「共通パスワード」を扱う場合があると思います。例えば、システム管理を行う上で、サーバの管理者IDとパスワードを1組しか用意せず、それをみんなで共有しているパターンです。システム管理に限らず、部内で共有するサービスなども似たような運用を行っている場合もあるかもしれません。

 この方法は、平常時ならば問題ないかもしれませんし、簡単かつ配慮すべき点も少なくて済む手法でしょう。が、そこにメンバーの出入りが絡むと、困ったことになります。部署を異動したり、退職したりしたときに、その人の「記憶」を消すことはできません。そのため、その組織とは無関係になった人も、システム管理のための重要な権限を把握したままになってしまうのです。

 もし共通パスワードを使った運用をしている場合、何らかの不正アクセスや内部不正が起きた場合、当然ながら攻撃者はその共通パスワードを使って侵入することになります。そうなると、「共通パスワードを持った人=組織の全員」が容疑者になってしまい、調査に当たって社員や元社員を疑わざるを得なくなるわけです。当然ながら士気も落ちるでしょう。そのため、いくら小さなシステムであったとしても、企業、組織の規模に関係なく、共通パスワードによる管理はやめた方がいいのです。

photo いったん共有してしまったパスワードのおかげで、インシデント後に容疑者が100人以上……なんて展開はぜひとも避けたいですよね

 そして心配なのが、特に中小規模の企業で「家庭向けの無線LANルーターをそのまま使っている」場合です。実はこの場合も、上記の共通パスワード問題が発生します。例えWPA2などで暗号化したとしても、そのパスワードがPSK(Pre-Shared Key)ですと、暗号鍵が全員共通なので、異動、退職者がパスワードを知ったままの状態になっているはずです。この場合は“無線”ですので、悪意ある退職者ならばオフィスに近づいて、勝手にネットワークに接続できてしまうかもしれません。さらにその先にあるシステムも共通パスワードで管理されているものであったならば……結果は推して知るべしです。

 一方、自分が退職、異動をする立場になった場合はどうでしょう。例えば、自分がもといた会社でセキュリティインシデントが発生してしまったとして、潔白であるにもかかわらず疑いをかけられるような事態は何としても避けたいものです。今からできる対策を見ていきましょう。

       1|2 次のページへ

Copyright © ITmedia, Inc. All Rights Reserved.

注目のテーマ

マーケット解説

- PR -