大日本印刷JavaScriptをOnにすると、より快適にWEBサイトの機能をご利用いただけます。おける脅威を1位から10位まで順位づけしています。2019」の組織部門で5位にランキングされた、「内部不正による情報漏洩」についてご紹介します。2019組織編」によると「内部不正による情報漏洩」は、前年8位、一昨年5位と、毎年ランクインしている脅威となります。内部不正による情報漏洩は、組織の従業員や元従業員等の内部関係者によって、顧客名簿や技術ノウハウ等の重要情報や、情報システム等の情報資産が外部に漏洩してしまうことをいいます。内部からの情報漏洩は、社会的信用の失墜、損害補償/賠償等、組織の事業の根幹を脅かすこともあります。発生した約3,500万人の個人情報漏洩事件は、グループ企業がシステム保守を再委託した会社に勤める派遣社員のシステムエンジニアによって引き起こされました。その派遣社員は個人のスマートフォン経由でデータを20回以上持ち出し、名簿業者へデータを売却しました。事件の影響は、会員に対する図書カード等のお詫びに関わる費用として260億円の特別損失を出しただけでなく、同社の会員が数年間に渡って大幅に減少し、経営陣も引責辞任する等、同社のビジネスに大きな影響を与えました。けの金融システム提案書や見積書などの営業秘密を不正に持ち出し、B社に開示したことで逮捕されました。この際、元執行役員はA社に籍を残したままB社に二重雇用されている状態を悪用し、A社のシステムにアクセスして営業秘密を窃取していました。3つの要素が揃った時に発生するとした「不正のトライアングル」理論を提唱しました。ケースでは、元派遣社員は逮捕当時に約170万円の借金があり、これが名簿業者に不正にデータを販売した「動機」となったと考えられます。・ITコンサル大手A社のケースでは、競合他社への転職に当たってB社から従業員名簿を持ち出して欲しいと暗に要求があったことが「動機」の背景にあると考えられます。ケースでは、元派遣社員は顧客情報データベースの保守・管理業務を担当しており、スマートフォンをパソコンに接続して充電しようとした際に、偶然データがスマートフォンに移せることに気づいたため「機会」が発生したと考えられます。・ITコンサル大手F社のケースでは、元執行役員は転職に際してF社を辞めていなかったために、F社の営業秘密に業務上アクセスできる権限を持っていたことが「機会」に当たると考えられます。ケースでは、元派遣社員は、妻の病気等で家族名義でも借金があり、「幼い子供が2人おり、生活が苦しかった」等、家族の事情を供述もしていることが「正当化」に当たると考えられます。・ITコンサル大手F社のケースでは、元執行役員は、自身が関与した提案書や見積書等について「自分で作成した資料なので問題ないと思った」と供述しているのが「正当化」と言えます。カ国で実施した調査(※参考2)によると、サイバー犯罪を経験した企業の割合は「内部不正」が35%と最も低いのですが、年間平均被害額はDoS攻撃(約12.7万ドル)やWebベースの攻撃(約9.6万ドル)を抑え、内部不正(約14.5万ドル)が最も高く、またサイバー攻撃の解決に要する平均日数も内部不正が54.4日と最も長い期間がかかるという結果が出ています。内部不正は発生頻度こそ低いのですが、内部不正者は職務上与えられた正規の権限を使い、また組織の脆弱点を予め把握してから攻撃を仕掛けてくることも多く、その対策は容易ではありません。そのため、内部不正は外部からのサイバー攻撃や不正アクセス等に比べて、事件が発生した際の影響が大きいと調査データに表れたのだと考えられます。内部不正による情報漏洩への対策は?内部不正対策は前述の3要因の低減が有効です。ルール策定など、経営層の積極的な関与が挙げられますが、それ以外にも重要な対策ポイントが4つあります。ヘッドハンティング、組織に不満を持っての退職など、営業秘密の漏洩は転職や契約期間の終了等の退職者経由で発生するケースが多いといわれています。退職者との秘密保持契約や誓約書提出等で「正当化」リスクを、そして退職時までに入館証や貸与携帯端末や貸与PC等の物理的な資産を返却させ「機会」リスクを軽減させることは多くの組織で実施しています。「機会」リスクを軽減させるため、社内システムへのアカウント等の情報資産へのアクセス権を速やかに削除することも重要と言えます。退職があらかじめ分かっている場合には、退職予定者の電子メール、USBメモリ等の外部記憶媒体へのデータコピー、紙の大量の打ち出し等の操作ログを監視することで、不正行為の抑止・検知を図ることも有効です。重要な情報へのアクセス権を持つ従業員が不正行為を働くと重大な事故を引き起こしかねないことから、職務に応じた適切な権限の付与と定期的な権限見直しが重要となります。この際に注意すべきなのは、システムユーザー以外の特権アカウントに対し「共有アカウント」を作らないことです。「共有アカウント」が内部不正に使われると、不正操作をしたシステム管理者が特定できなくなる、あるいは特定までに時間がかかってしまう懸念があるからです。Privilege)ことと、付与したアクセス権限を定期的に見直すことが重要です。システム管理者のアクセス履歴や操作履歴をログに記録し、その記録をシステム管理者以外の人が定期的に監査することや、システム管理者が相互に監視し、不正の「機会」要因の低減を図ることも有効です。その管理体制が問われました。業務委託に際して委託先組織との契約にセキュリティ関連項目を盛り込むだけでなく、例えば委託先の清掃スタッフや警備員が機密エリアまで入れてしまう可能性を考慮して、自組織のセキュリティ区画や入室権限を見直すことも重要です。他のセキュリティとは違い、「人」が必ず関与する脅威であり、従業員教育が果たす役割は大きいといわれています。内部不正が組織に与える影響、重要情報の管理方法、SNS等での情報発信のリスク等、情報の無断持ち出しが不正行為であることを周知徹底させることは非常に重要です。)で、内部不正行為が社会的にも罰せられることを従業員にきちんと認識させられれば、「正当化」リスク要因を軽減させる効果も期待できます。DNPにおいても、過去に、内部不正により個人情報が流出する事件が発生しましたが、物理メディアの持ち出し制限や入退室ゲートの設置、金属探知機によるチェック、生体認証、物理メディア制限端末の導入、ネットワーク等の完全独立等の対策を講じています。した対策は一時的なものではなく、現在も繰り返し、見直しを図っています。内部犯行対策は、こうした技術的な仕組みをいくら徹底しても十分とは言えません。内部犯行対策は、体制整備や技術的対策を講じることだけでなく、いかに潜在的に攻撃をしてくる「人」を減らすかも重要なのです。そのためには過去の事件事例などを含めた教育・啓蒙を通じて、情報を漏洩することは犯罪であり、企業に致命的な影響を与える可能性があることを、繰り返して従業員に教え込む等、「人」対策にも注力すべきなのです。内部不正防止対策は3要因の低減が有効。産業制御システムセキュリティのいま。産業制御システムセキュリティのいま。後編スタートは「名ばかりCSIRT」でいい。重要なのは、どう進化させるか。資料請求などお気軽にお問合わせください。(9)ユニバーサルデザイン(13)環境配慮(17)多国語対応(9)システム開発・運用(8)AI(人工知能)活用(6)コンサルティング(46)ソフトウェア(23)クラウドサービス(29)モバイルアプリ(15)関連機器(17)組込みモジュール(8)紙器(5)軟包装(16)成形品(5)複合容器(2)製袋・成型技術(8)成膜技術(6)充填システム(3)認証・認識技術(30)まずはお気軽にご相談ください。課題の明確化からお手伝いいたします。お問合わせ(別ウィンドウで開く)貴社ビジネスのお役に立つ情報をお届けするメールマガジンを購読ください。