1
2015年 12月 09日
GroupWise 2014 R2 出荷されました。
GroupWise 2014 R2 出荷されました。
評価版のダウンロードが始まっています。
■
[PR]
▲
by islandcenter
| 2015-12-09 10:39
| GroupWise
|
Trackback
|
Comments(0)
2015年 12月 03日
情報漏えい対策の基本は根性論 - マイナンバー制度への対策
先日、知り合いの会社の社長から「マイナンバーに対応した情報漏洩対策を考えろと言われてこまっている」という話を頂きました。
私の答えはこうです。
「情報漏洩に完全な対策はない。漏洩した時のメディアへの言い訳をまず考えろ」
と答えました。全てそこから情報漏洩対策は始まるのです。
情報漏えい対策で一番重要なのは
「どういった謝罪を行うか」
という事なのです。
アムトラック事故の際の謝罪の仕方は、 「現代における最良の謝罪の1つ」と言われているそうです。
1：実際に『すみません』などの謝罪の言葉を使用する
2：混乱・失敗を認める(「アムラックが全面的に責任をとり」の部分)
3：どのように事態に対処するか解決策を伝える
4：他人に押しつけたり、非難せずに何が起こったのか説明する
5：事態の改善を約束する
6：自分がどれほど人を傷つけたか・不快にさせたかを理解していることを知らせる
7：「2番」とは別に、「私は間違っていました」など、間違いを認める言葉を使用して容赦を求める
8：アムトラックの謝罪文を読んでどこが上記の7つに当てはまっているか、2回以上確認する
という事で、謝罪のファーストインプレッションから受け止められるネガティブな印象をまず低減させます。
一般的なインシデントと違い、情報漏えいは、自分たち自身が一次被害者であるにも関わらず、二次被害者が存在し、一番迷惑を被るのが彼ら二次被害者なのです。一次被害者にとっては痛くも痒くもない。しかし、問題を起こした当事者であるという認識を持って対応すべき事なのです。
情報漏えいは気が付かない
それでは、情報漏えいは、なぜ Issue として気が付くのでしょう。
スリならば、財布がないことに気が付いて「ヤラレタ」と思うわけですが、情報漏えいは財布の中身をコピーするだけの行為であり、悪意のある人間にとっても、単なるコピーに過ぎない些細な価値しかありません。被害者は気が付きません。いくら盗まれたかも気が付きません。実際、某教育産業での情報漏えいも、結果としては盗んだ情報が名簿屋にとっては数十万円にしかならない価値しかなかったようです。
しかし、見知らぬ教育機関からＤＭを受け取ったヒトは非常に不愉快な思いをしたでしょう。
情報漏えいが、内部監査によって発覚する可能性はまず９割はありえません。
たとえ、監査に必要なソフトウェアが導入されていても、監査する量があまりに膨大で、その中から「あってはいけない Issue」 を発見する、というのは、コンサート会場の手荷物検査より退屈で、ブツが見つかるものではないのです。そこに担当者を張り付けるというのは、非効率そのものです。
特権ユーザだけの行動管理ができるソフトウェアを導入したい、というリクエストがありましたが、私は
「無駄だから止めておいたほうがいい」
と思いました。
特権ユーザは、自分が監視されていることも知っているし、どこにログがあって、どこに穴があるのかをすべて知っています。そのため、特権管理者を別に監視するための人を更に雇う必要があるのです。果たしてそれだけの価値があるのでしょうか。
銀行の様な「ナマの現金」を扱っている業種ならともかくも、一般的な事務、情報システムでは無駄な投資になるだけでしょう。
そこで、一般的には情報漏えいの Issue は、外部からの告発や問い合わせ、中立機関からの通報によるものなのです。例の教育産業での情報漏えいも、漏れた個人情報が関係ない団体からのＤＭが増えた事により、問い合わせがあったからなのですね。
想定される謝罪から、逆想定できること
それは「セキュリティ根性論」です。
数十個あるパスワードを全部、メモにも書かず、使いまわしもせず、月に一度変える。
これでも情報漏えいがあれば「根性がないユーザが悪い」という事になります。すでにパスワード認証というものは崩壊しているのです。
今の時代、セキュリティは根性がなければ守る事はできません。根性論ベースで語るシステムでは容易に破られるのですね。もちろん、「根性論では片づけない」ためのシステムソフトウェアもあるにはあるのですが、それはあくまでもＳＩベンダーの商売文句に過ぎないのです。
社保庁事件は「どこが杜撰なのか」
社保庁事件は、厳重に管理されているマスターから、「抽出」されたデータが、パスワードもなしに放置された事が「杜撰な管理と運用」と言われています。
システムで守れるのは「マスターデータ」までで、そこから取り出されたデータをどのように業務にユーザが利用するかは「ユーザ根性論」で語られるわけです。
マスターデータであれば、誰が開いて、抽出した内容をダウンロードしたかまではシステムで追跡できるでしょう。
しかし、この抽出されたデータがどのように利用され、共有サーバーだとかＮＡＳだとかローカルドライブに保管されたかなんて追跡のしようがありません。ファイルをメモリに書き出した事を記録するソフトウェアがあっても、ファイル名しか記録がないため、抽出されたデータがどのようなファイル内容なのかをチェックすることもできないのです。
ファイルの中に「機密」と書かれたキーワードがあれば、印刷やメール添付しようとすると自動検出して警告を出せる、という製品もありますが、こんなものは、売り上げに走るＳＩ業者がヨロコンで無知な顧客に売り込もうとするには非常によいプロダクトです。
だけどファイルそのものにパスワードロックがかかっていれば、スキャンもできません。パスワードロックがかかっている添付ファイルをスキャンできない、アンチウィルスソフトウェアと全く逆の意味で、
意味ねぇじゃん。
という事になります。つまり、ここでもセキュリティ根性論がものを言うのですね。
セキュリティ根性論
じゃ、セキュリティ根性論とは何かと言えば、従業員、職員のモラルに尽きるという事です。モラルが下がっている職場では、明らかにセキュリティ根性も下がります。よく、海外で理不尽な方法で馘首されたネットワーク管理者がデータを持ち出したとか、管理者パスワードを全部変えて退職したとかの事件があります。まさに職場のモラルが下がると、セキュリティ根性もモラルも下がります。
自分が勤めている会社がヤバそうな場合、社内備品を勝手に自宅に持ち帰る、という話はよく聞きますが、全く同じ状況が発生するわけです。
そこで、セキュリティ製品、行動管理製品を必要とする企業の半分は「モラルが崩壊しているヤバい取引先」じゃないか？ と勘ぐってしまいます。銀行の融資屋さん的に言うと「要注意取引先」に分類されます。もちろんすべてじゃないのですけどね。
逆に
「ウチはちゃんと従業員教育をして根性入れ直ししているよ」
という組織もあります。あるＩＴ系のライターさんが、とある企業の年に一度は必ず従業員が受けなければならない「講習会」に参加して「唖然」としたことがあったそうです。
なんと、参加者は「講習会中に全員居眠り」、テキストも古く、担当者は総務のコンプライアンス担当者。内容は去年と同じ物の使いまわしだったというのです。これで「セキュリティ根性の入れ直し」なんてのがどれほど無意味なものなのか、がよく分かるかもしれません。少なくとも外部の講師を呼んで、毎年新鮮な内容で行うべきです。給料で動くプロパーではなく、報酬で動くプロを雇うべきなのです。
言い訳から逆算するセキュリティ対策
情報漏えいは、現代の技術では中々防げない根性論なわけですが、それでもシステム的に最低限の対策を施すことにより
「今回は世間をお騒がせしました、該当する皆さまに深くお詫び申し上げます」
と言った後、「杜撰さ」を感じさせない対策は幾つかあるのでしょう。
手軽なのが、ノートＰＣのファームウェアのパスワードロックや、ＵＳＢ記憶媒体への書き込み禁止。あるいは、外部媒体へ書き出したデータの暗号化の義務付けです。これはシステムで管理できます。
また、データコピーが実質できないシンクライアントシステムも有効です。
たまに金融機関で「財務情報が入ったＰＣを電車で紛失」という事故がニュースになります。しかし、ほとんどのケースでは「世間をお騒がせしました」レベルの謝罪で終わっていて、後追い発表もありませんし、メディアの追及もありません。紛失したら、データにアクセスできなくなる、そういうシステムが組み込まれているので、組織そのものが致命的なダメージを受けるような Issue にはならないのです。
つまり「杜撰な管理」だった、というイメージを残しません。
更にお金をかければ、操作記録管理システムを導入することですが、これは、非常にコストがかかります。コストだけではなく、情報漏えいそのものを検出できません。ほとんど事故の後の後追い調査に有効であるだけです。情報漏えい対策というより、金融機関などのコンプライアンス対策として考えた方が良いでしょう。
外部からのアタック対策
多くの情報漏えい事故は、内部からの漏えいです。まともなセキュリティを施している限り、外部から侵入するというのは困難です。
ただ、そうとも言えないのが社保庁を狙ったピンポイント攻撃です。
ここでも重要なのは、セキュリティ根性論です。マルウェア付き添付ファイル、一見まともに見えるメールとリンク先。こういったアナを敵は突いてくるのです。
一度、自称「システム管理のプロ」が顧客先に高い給料で転職してきたことがあります。
特権ユーザでログインしたまま、彼はメールの添付ファイルだとか、ショートカットをダブルクリックして開きまくっているのを見て、私は「口ポカンで目がテン」になりましたね。
「あ、こいつど素人だな」
典型的な「Windows しか知らないシステム管理者」だったのです。サーバーの特権ユーザで、こういった無知な操作をしたら、どういう事故が起こるか、まともな技術者だったら当たり前の配慮が全くない。
まとめ
情報漏えいの基本的な対策とは
1) まず Issue に対する謝罪の内容を考えよ。
2) 情報漏えいに万策はない。常にあり得る危機だという危機感を忘れるな
3) セキュリティは根性論、社員、職員のモラル向上に力を注げ。
4) 謝罪に対してどのような対策が必要なのか逆算して考えよ。
5) 謝罪内容を逆算して実施できる機能から、まず実装せよ。
という事になります。
お問い合わせは
まで
■
[PR]
▲
by islandcenter
| 2015-12-03 04:23
| プライベートクラウド
|
Trackback
|
Comments(0)
1
