06:00個人情報や機密情報などのデータは企業の重要な資産であるとともに、それらのデータの利活用が企業活動の成否を握る重要な鍵であると言っても過言ではありません。一方で、経営層も含めてこれらの情報をきちんと護るという強い意識が必要です。情報漏洩は企業の競争力の低下や事業継続に大きな影響を及ぼすリスクを秘めているからです。情報漏洩事件は後を絶ちませんが、弊社の顧客企業においてもそれらの事件がきっかけとなって、情報の保護や漏洩対策を経営課題と捉え、対策の実装や見直しを図る企業が急増しています。本稿では、企業としてさらに強固なセキュリティ対策を施すきっかけとなるような情報漏洩対策のポイントや考え方をご紹介します。情報漏洩対策を全方位で網羅するには何が必要でしょうか。これには実際に発生した情報漏洩事故を振り返ってみることが有効です。日本ネットワークセキュリティ協会)から実際に発生した情報漏洩インシデントの一覧が出されているので、これを頻度順にまとめ、それに筆者がITシステムに関係し有効性が高いと考える対策をマッピングしたものが表1になります。2012年情報セキュリティインシデントに関する調査報告書)マッピングされた対策を整理すると、ITシステムに必要な施策(つまり情報漏洩対策に必要な「楯」)は以下の7つのポイントにまとめられます。本連載では、この7つの楯(情報漏洩対策)について、順を追ってご紹介します。第1の楯として今回解説するのは、メール誤送信対策です。電子メール(以下、メール)は、IT基盤の中で主要なビジネス・ツールとして、またコミュニケーション手段として広く普及しています。コミュニケーション・ツールという性格上、情報漏洩の脅威となり得るツールでもあり、実際にビジネスに大きな影響を及ぼす事故も多数発生しています。業務の生産性やユーザの利便性を考慮すると、漏洩リスクを根本的に抑止する対策が実装しにくい状態と言えます。メールによる情報漏洩は、多くの場合、送信者の不注意または操作の不慣れによる「誤送信(誤操作)」に起因しており、具体的には以下の2つの漏洩パターンへの対策を講じることにより、誤送信時の情報漏洩リスクを大きく低減させることができます。1.メール・アドレスやメール本文に含まれる情報の漏洩対策メールの宛先誤りによる情報漏洩は比較的容易に発生します。他社の「A」にメール送信する際、「A」とは面識のない社内の「X」「Y」「Z」に本来「BCC:」で送信するところを「CC:」で送信してしまい、意図せず「A」にメール・アドレスが通知されてしまうというケース、この他にも、社内の「A」に送信するつもりが他社の「A」に送信し、社外秘情報が漏洩してしまうケースや、社内の「B」に送信するつもりが同姓の「C」に送信してしまい、人事的な機微な情報が漏洩したり関係者以外が重要な情報を知ってしまうケースなど様々です。送信は一瞬にして行われるため送信者自身がその発生に気づかないことが多いこともメール誤送信の大きな特徴です。そのため、送信先は常に社外であることを想定して、以下のように、メール送信時に宛先の妥当性のチェックや早期発見ができる仕組みが必要です。専用のゲートウェイを設置し、メール送信の操作後にメールを一定期間保留することで、宛先の妥当性チェックに猶予を残す。メール送信には、上長承認(または確認)を必須とし、チェックを二重化する。機密情報や個人情報等の重要な情報をメールに添付して送信する際に、宛先を間違える、または送付するべき情報(ファイル)を間違えることにより、重大な漏洩リスクが発生します。間違った宛先に添付ファイルを送信してしまっても情報を漏洩させないためには「添付ファイルの暗号化」が有効です。実際に弊社の顧客企業においても、ファイルを添付したメールを社外に送信する場合に、暗号化を必須としている企業が増えています。暗号化した添付ファイルは復号化のキーを使用して開くことができます。そのため、復号化キーの通知を分け、即時にファイルの内容を参照できない状態にすることで、情報の漏洩を防ぎます。具体的には以下の手順で行います。手動またはシステムで暗号化ファイルを手動で暗号化するか、専用ゲートウェイ・サーバを設置してメールに添付されたファイルは自動で暗号化するように設定しておく。復号化キーは別で送信メールを送信する際、添付ファイルを復号化するキーを別途通知する旨、送信先に連絡する。システムにより自動で復号化キーを別途通知する。(受信者は添付ファイルを受け取るが、暗号化された状態のためこのままでは参照不可)。復号化キーの連絡メール送付後に送信先に電話や別メールにて復号化キー(パスワード)を通知する。暗号化の他に、上長承認の義務化や送信するファイルの重要度のチェック等の仕組みも検討されたほうが良いと考えますが、業務の効率化やユーザの利便性も考慮し、無理なく実現可能な施策を選択されると良いでしょう。~ファイルの暗号化~今回はメール誤送信対策について解説しました。次回は、データ暗号化について解説します。連載通知を行うには会員登録(無料)が必要です。会員の方はログインを行ってください。メインフレーム時代から23年間、企業の基幹となるシステム運用管理を中心としたパッケージ・ソフトウェア導入業務に携わる。顧客の業務要件を広くヒアリングしてきた経験から、ソフトウェアの機能中心ではなく、顧客のスコープを明確化したうえでの最適な提案を得意とする。直近の10年間ではセキュリティ分野に特化した製品開発やセミナー講師を務める。西内啓氏が見据える次の10年。EYACCの森島さんはいかにして生まれたのか319SAPが会津若松で中小企業のものづくりのイノベーションに取り組む理由296AWSでセキュリティを高めるために今すぐやるべき7つのこと262企業のデジタルシフトはIoT、5G、サブスクリプションが牽引。ログインEメールパスワード※旧SEメンバーシップ会員の方は、同じ登録情報(Eメール&パスワード)でログインいただけます。パソコン「EnterpriseZine」(エンタープライズジン)は、翔泳社が運営する企業のIT活用とビジネス成長を支援するITリーダー向け専門メディアです。イラストの無断転載を禁じます。記載されているロゴ、システム名、製品名は各社及び商標権者の登録商標あるいは商標です。