情報漏えい事件の大半は、社内におけるPCの不正利用に起因している。私物PC持ち込みをはじめ、iTunes、インスタントメッセンジャー、禁止ソフトウェアのインストールやSNSなどの利用による、ワーム/ウィルスに感染したPCからの二次拡散/ネットワーク攻撃、さらに悪意を持った社員(内部)からの機密情報持ち出しなど・・・。した事例に端を発する被害は年々増加しており、2009年度の情報漏えい事件は1,539件と過去最悪を記録し、想定される損害賠償額も3,980億円に上っている(日本ネットワークセキュリティ協会調査)。ネットワークが疎かでは「内部」脅威に対抗できない・・・V社は特定のとある保険を専門とする保険代理店。同社では此の程、業務プロセスおよび内部統制の補正とともに、自社内のセキュリティ対策の見直しを緊急課題として掲げ、その実施を決定しました。いうのも、同社におけるセキュリティ対策はアンチウィルスやアンチスパムなどのセキュリティソフトウェアを中心に、外部の脅威から「クライアントPCを保護」することに終始しており、「ネットワークの保護」までは手が回っていなかったからです。社内LANを構築するスイッチなどは機能を深く検討せずに低価格製品を使用するなど、ネットワークの専門知識を有さないシステム管理者のセキュリティリスクへの意識は十分とはいえず、重要な機密情報を保護するためには非常に心許ない状況でした。いくら、外部からの脅威へ対策を施しているとはいえ、セキュリティパッチ適用は社員任せだったため、故意・過失に関わらず不適切なソフトウェアを起動してPCがウィルスに感染するリスクは否めず、特に外部に持ち出されるモバイルPCは多くの危険性をもっていました。V社IT統括室のA室長は、同社の問題について次のようにも述べています。「いくら全社のPCを保護したところで、そもそも私物PCや取引先会社のPCなど、未登録のPCを持ち込まれてしまっては、何の意味もありません。『内部』からの脅威に対応するために、『ネットワーク』も含めた社内インフラ全体のセキュリティ強化が必要だったのです」まさかのワーム拡散─原因は、「ルール違反」を未然に防げないマンパワー不足そんな矢先、社外への持ち出しPCがワームに感染していることが分かりました。社員が帰社後、気づかずに社内ネットワークに接続した途端にワームが拡散。幸いにもすぐ拡散に気づき、早期に手を打つことができたものの、一歩間違えれば情報流出事件に発展し、顧客の重要機密情報を扱う業種だけに、信用失墜や損害賠償、ひいては事業継続リスクにも繋がりかねない事態でした。同社ではPC保護に加え、「未登録PCの社内ネットワーク接続禁止」や「会社が認めたソフトウェア以外のインストール禁止」、さらに「セキュリティパッチやウィルス対策ソフトのパターンファイルは更新のたびに即時適用する」など、細かいセキュリティルールを敷いていましたが、肝心の「確認」は満足にできていませんでした。今回の事件は、規則が実効性を持っていないことを図らずも証明する結果となったのです。「IT予算は削減される一方で、管理部門のマンパワーでは、社内全てのPCを点検することは物理的に不可能です。対策案を模索していた前出A氏は、「ネットワーク全体の保護」というキーワードにつられ、とある啓発セミナーに参加。そこで、“ルール化”だけでは限界があることをあらためて認識するとともに、「検疫」や「強制遮断」を含めたセキュリティ統制を「自動化」できるソリューションがあることを知りました。本当に社内インフラ全体のセキュリティ強化を実現できるのか?─詳細な説明を受けたA氏は早速トライアル導入を申し込み、自社の状況に照らし合わせた検証を行うことに。「接続・起動させない」!強制的な“制御”と“自動化”で、工数を要せずセキュリティポリシの全社適用を可能にA氏はまず、クオリティ社のIT資産管理ツール「QAW」による、全社約550台のPC管理を試行。その流れと結果は次のようなものでした。「各クライアントPCのアプリケーションの起動/インストールについても、管理者側での一括自動制御が行えました。「セキュリティリスクと対策はいたちごっこのようなもので、常に最新の脅威を把握・対策しておく必要があります。QAWの、次々と生み出される危険ソフトウェアの情報を定期的に更新し、まとめた「辞書ファイル」には驚きました。「定期的なセキュリティポリシチェックにより、不合格PCが発見された場合は、強制的にネットワークから遮断、およびOSからログオフさせ、PC自体の利用を制御することができました。ポリシーチェックが自動化されることで、セキュリティ統制を継続化するサイクルの構築が期待できました」(前出A氏)いくら厳密なセキュリティルールを定めても、社員がそれを厳密に実行しなければ何の意味もありません。A氏はトライアル段階での感想をこう述べています。「(QAWは)そもそも禁止事項を“行わせない”強制力を持ったソリューションでした。ネットワーク運用へ加えて、社内LANスイッチの見直しも慎重行われました。低価格ながら有害なトラフィックの検知・遮断を実施できる点に着目しました。「SubGate」は、DoS、DDoS、Flooding、Spoofing、ScAnning等の様々な有害トラフィックに対応しており、さらに攻撃をリアルタイムで探知します。「有事の際には即時ネットワーク遮断を行い、その際も正常なトラフィックには影響を及ぼさないため、業務への障害を最小限に抑えながら、ネットワークセキュリティを強化することが期待できました」(前出A氏)「これまで、IDS(侵入検知システム)やIPS(侵入防止システム)はコストや運用面から導入できませんでしたが、これならIT予算の縮小が進む当社でも、有効な対策が行えると確信できました」とトライアル後の感触についてA氏は述べます。した優れたセキュリティ機能とともに、保守管理がほとんど必要なく、価格も従来のL2スイッチと同レベルという点が、V社上層部の決断を後押ししました。見つかった「有害トラフィック」と「フリーソフト」─万全のセキュリティ体制を確立トライアル終了後、V社は「QAW」の本格導入、および「SubGate」への一斉入れ換えを実施。導入後間もなく、「SubGate」は有害トラフィックを検出し、アンチウィルスソフトで駆除しきれていない脅威があることを示しました。「QAW」によって外部からの持ち込みPCや多数のフリーソフトの存在が明確になりました。前出A氏は今回の導入についてこう総括します。「外部からのセキュリティ対策とともに、ようやく内部での二次拡散やセキュリティ脅威を、ネットワークエッジで確実に防ぐことができる社内環境を構築できました。社内ポリシにそぐわない端末の特定が可能となったことで、社内に蔓延していた不正使用もなくなりました。※本事例は、特定の企業の運用を事例化したものではなく、想定運用になります。