企業や組織としてデータ持ち出しによる個人情報及び機密情報の漏洩は大きなセキュリティリスクになっています。具体的にどのような形でデータの持ち出しが発生するのかを理解し、監視やモニタリングを基軸としたセキュリティ対策を行うことが大切です。
今回はデータ持ち出しや内部不正で考えられるセキュリティリスク、内部不正やサイバー攻撃によるデータ持ち出しはどのような場面で起きるのか、データ持ち出しや内部不正を防ぐためのセキュリティ対策についてお話しします。
1. データ持ち出しや内部不正で考えられるセキュリティリスク
はじめにデータ持ち出しや内部不正で考えられるセキュリティリスクについて解説します。
1-1. 個人情報の流出による顧客への直接的な被害
データの持ち出しはそのまま個人情報の流出による顧客への直接的な被害というセキュリティリスクが発生する可能性が非常に高くなります。
• アカウントの乗っ取り：なりすまし
• 詐欺や不正利用による金銭的な被害
• 連絡先や住所を知られる心理的な不安
上記は個人情報の流出による顧客への直接的な被害の一例です。預かっている個人情報の項目が詳細であればあるほど、顧客への被害が大きくなることが予測されます。
その他にもオンラインバンキングやオンラインショッピングの不正利用、個人情報を悪用した詐欺、連絡先や住所を知られることによる直接的な攻撃なども含めて、データの持ち出しをされてしまうことが重大なセキュリティリスクを抱えているのは明白です。
1-2. 顧客への被害に対する損害賠償や金銭的な補填
企業や組織側としては、データの持ち出しによって生じた顧客への被害に損害賠償や金銭的な補填をする必要があるのもセキュリティリスクです。人数や規模が大きくなればなるほど金銭的なリスクが大きくなってしまいます。
また、個人情報保護法に違反してしまうことで、1億円前後の罰金が課せられてしまうということを従業員や企業および組織全体で周知しておくことが重要です。
1-3. 顧客情報の流出による社会的信用の失墜
データ持ち出しは企業や組織としての社会的信用の失墜というセキュリティリスクもあります。誰しもデータの持ち出し及び個人情報の流出ができるような企業および組織は信頼できませんし、何らかの理由で仕方なく使わなくてはならないとしても不安なまま使わなくてはなりません。
業態によっては同業他社に乗り換えられる可能性もあり、安定的な利益や継続的な顧客を失うということを知っておく必要があります。
1-4. 同業他社との安全性に関する優位性の喪失
データ持ち出しによって個人情報の流出が発生してしまうことは、同業他社との安全性に対する優位性が失われてしまうこともセキュリティリスクです。そもそも企業や組織は信頼や安心も含めて、安全だからこそ利用してもらえるというのが前提と言えます。
そのため、安全でない、信頼できない、安心できないとなれば商品やサービスがどんなに優れていても選ばれなくなってしまうのです。
1-5. 企業機密の流出による将来的な利益の損失
内部不正によるデータ持ち出しについては、データを同業他社や悪質な業者に売却することで、利益を得られるというリターンがあります。内部不正によるデータ持ち出しが発生する理由でもあり、内容によっては将来的な利益を損失することが考えられるのです。
同じく悪質な業者によって詐欺などに悪用されやすくもあり、損害賠償の金額についても大きくなってしまうということ、社会的信用の回復が難しくなってしまうことも知っておく必要があります。
2. 内部不正によるデータ持ち出しはどのような場面で起きるのか？
次に内部不正によるデータ持ち出しはどのような場面で起きるのか解説します。
2-1. USBメモリや外付けハードディスクによるデータ持ち出し
データ持ち出しについては、USBメモリや外付けハードディスクによるものが考えられます。
データを直接パソコンなどのデバイスから盗み出し、物理的に外部に持っていく方法です。監視やモニタリング、ログの取得などを行っていないような場合ですと、担当者のアクセス権にあるデータを簡単に持ち出されてしまいます。
2-2. 社内VPNに外部からアクセスしデータ持ち出し
社内VPNに外部からアクセスし、自分がアクセスできる範囲のデータを持ち出されてしまうことも考えられます。
物理的なデバイスによる持ち出しと同様に、監視やモニタリングなどを行っていなければ、簡単に持ち出されてしまいますし、社内VPNと繋がっている共有フォルダにあるようなデータも流出してしまう可能性があり非常に危険です。
2-3. 退職者による外部からのアクセスによるデータ持ち出し
ある程度のアクセス権を持つ退職者による外部からのアクセスでデータを持ち出されてしまうことも考えられます。
アクセス権をすぐに排除し、アカウント自体を使えなくすれば問題ないことではあるものの、アカウントを共有してしまっていたり、本来はアクセス権のない人もアクセスできるようにパスワードを周知していたりするような場合、原因の特定に時間を多く要するでしょう。
2-4. WEBブラウザでアクセスできるオンラインサービスの悪用
昨今では効率化や最適化のために、クラウド上のツールやアプリを使う機会も増えてきました。
そのため、WEBブラウザでアクセスできるオンラインサービスの悪用によるデータ持ち出しも考えられます。テレワークやリモートワークで当たり前に利用しているような場合、監視やモニタリングがしきれず、悪用されていても気づかないというケースがあるのです。
2-5. チャットツール・メールクライアント・PCアプリなどの悪用
WEBブラウザではなく、直接パソコンにインストールするタイプのチャットツール、メールクライアント、PCアプリなどを利用してデータを持ち出すことも考えられます。使い捨てのアカウントに添付ファイルで送信されてしまえば、その後の追跡も難しくなりますし、そもそも監視やモニタリングを行っていなければ、データを持ち出されたことすら気づくこともできません。
3. サイバー攻撃によるデータ持ち出しはどのような場面で起きるのか？
次にサイバー攻撃によるデータ持ち出しはどのような場面で起きるのか解説します。
3-1. オンラインサービスのアカウントの乗っ取りによるデータ持ち出し
オンラインのオフィスツールやメールアカウントを乗っ取られてしまうことで、データを持ち出しされてしまうことも考えられます。
2要素認証などを導入していれば防げる問題ではあるものの、アカウントにアクセスできなくなるのが億劫で設定をしていなかったり、ログインが面倒で設定を解除していたりすると乗っ取られる可能性が高まってしまうのです。
3-2. パソコンやデバイスの乗っ取りによるデータ持ち出し
パソコンやデバイスを直接乗っ取られてしまうことで、データ持ち出しが発生することも考えられます。
WEBブラウザのパスワードマネージャーが利用できる状態であれば、そのパソコンやデバイスからアクセスできる情報を全て見られてしまうため、利用しているサービスごとのアカウントを乗っ取られてしまいさらに被害が拡大してしまうことも考えられるでしょう。
3-3. 社内ネットワークに不正な方法でアクセスによるデータ持ち出し
社内ネットワークに不正な方法へアクセスし、共有フォルダやセキュリティの甘いデバイスを乗っ取られてしまうことでデータを持ち出されることも考えられます。
悪意のあるツールやマルウェアへの対策を怠ってしまっているような場合、乗っ取られていることもわからないままデータをどんどん盗み出されてしまうのです。
3-4. OSやデバイスの脆弱性を悪用したデータ持ち出し
OSやデバイスのアップデートを行っていたり、脆弱性を放置したりしている場合もデータを持ち出される可能性があります。中にはゼロデイ攻撃のような防ぎようがない状況も考えられることから、普段からセキュリティ対策をしっかりとしていないと防ぐことが難しくなるでしょう。特にサイバー攻撃は複合的に悪意のある手法を使ってくるため、たった一つのセキュリティホールによって、デバイスやアカウントが乗っ取られてしまうということをしっかりと理解しておく必要があります。
3-5. 関係者を装って物理的にデータを持ち出しされる場合も
悪意のある第三者が、まるで関係者かのように会社内や組織内の建物に侵入し、物理的にデータを持ち出しされることも考えられます。
物理的なセキュリティが甘い場合に考えられることであり、デバイスやネットワークに強い悪意のある第三者であれば任意のデータを持ち出しされてしまうことも考えられるのです。
4. データ持ち出しや内部不正を防ぐためのセキュリティ対策
次にデータ持ち出しや内部不正を防ぐためのセキュリティ対策について解説します。
4-1. 社内や組織内のセキュリティ教育によるリテラシーの向上
データ持ち出しや内部性を防ぐためには、セキュリティ教育にいるリテラシーの向上は前提条件となります。また、内部不正がハイリスクローリターンであること、システム的にセキュリティ対策をしていることで絶対に検知できることも周知徹底しておきましょう。重要なのは根性論や心理的にセキュリティ向上を目指すといったようなことをするのではなく、管理する側がセキュリティシステムを導入し、監視やモニタリングによって着実に防ぐ体制を整えることだと理解するべきです。
4-2. 個人情報や機密データの監視：モニタリングと閲覧及び持ち出し制限
個人情報や機密データの監視及びモニタリング、そして閲覧と持ち出しの制限をシステム的に行うことも重要です。EXOセキュリティでは個人情報や機密データを保護する機能があり、データが持ち出されたログを監視及びモニタリングできるようになっています。権限のない人は閲覧もできませんし、必要な場合は上司や管理職によって承認してもらう体制を整えることが可能です。テレワークやリモートワークであっても有効な手段であることから、実務の現場での作業スピードを落とすことなく、データの持ち出しを防ぐことが可能になるでしょう。
参考：個人情報・機密データ保護
4-3. デバイスの制限やアプリケーションの制御と監視：モニタリング
パソコンやデバイスの乗っ取りによる悪用を防ぐためのデバイスの制御、同じく乗っ取られたデバイスをアプリケーションで悪用されないようにするためのアプリケーションの制御も重要と言えます。EXOセキュリティであれば両方の機能が備わっており、デバイスの不正な挙動及び動作の検知とログの取得、不要なアプリケーションの実行の制御なども可能となり、同時に監視とモニタリングが実現できるためデータの持ち出しを防止することにつながります。
参考：デバイス制御
参考：アプリケーション制御
4-4. マルウェアやランサムウェアの検出と防御
悪意のある第三者によるサイバー攻撃であるマルウェアやランサムウェアの検出と防御も重要と言えます。前述したようにサイバー攻撃は複合的に攻撃を重ねてくるため、多角的な防御が必須ということです。EXOセキュリティであればランサムウェア防止に加えて、アンチマルウェアなども対応しており、悪意のあるツールから企業や組織の大切なデータ持ち出しへの対策を強化することが可能になります。
参考：ランサムウェア防止
参考：アンチマルウェア
4-5. ブラウザの制御やログの取得と監視：モニタリングが最も重要
ブラウザを経由したクラウドサービスやオンラインツールによるデータの持ち出しを防ぐためにも、ブラウザの整理はログの取得、そして監視とモニタリングができる体制を整えることが最も重要と言えます。EXOセキュリティはMicrosoft Edge、Google Chrome、Firefoxなど複数のブラウザをサポートしており、Googleドライブのようなクラウドストレージ、Gmailなどにアップロードしたファイルのログを確認することが可能です。ブラウザの一括制限、ブラウザごとの制限、使用自体の制限、データ持ち出しの制限、ログを確認後、承認制にすることもできます。
• ユーザー名
• グループ
• PC名
• アップロードしたファイル名
• ファイルパス
• アップロードしたサイトのURL
• 機密データ・個人情報が含まれているか否か
• アップロード日時
• ファイルサイズ
上記が確認できるログであり、データの持ち出しを確実に検知し、監視とモニタリングを実現可能にします。そもそもデータ持ち出しがしにくくなり、データを持ち出しされた場合においてもすぐに発覚するという体制を整えることが可能になるのです。
その他、悪意のあるサイトへのアクセスをブロックするWEB保護も備わっているため、ブラウザを経由したデータの持ち出しへの対策を着実に強化することができます。
参考：WEB保護
まとめ
今回はデータ持ち出しや内部不正で考えられるセキュリティリスク、内部不正やサイバー攻撃によるデータ持ち出しはどのような場面で起きるのか、データ持ち出しや内部不正を防ぐためのセキュリティ対策についてお話しました。
データ持ち出しについては、内部不正及びサイバー攻撃のどちらの場合においても、開始及びモニタリングが最も重要であることを理解し、エンドポイントセキュリティを導入することが大切です。
データ持ち出しも含めて、セキュリティに不安をお感じであれば、是非ともこの機会にEXOセキュリティの導入を前向きにご検討ください。