Vol.4企業としてさらに強固なセキュリティ対策を施すきっかけとなるような情報漏洩対策のポイントや考え方をご紹介する本連載、4つ目の楯は「持ち出し制御」です。持ち出し制御のポイント基本的には業務上の必要がなければ情報を持ち出さないようにすることが重要です。業務上持ち出さねばならない場合や不正に持ち出される場合を想定し、対策を講じなければなりません。いずれにしても情報が社外に漏洩する(不正に流出する)場合、必ず情報が持ち出される経路と媒体が存在します。情報が持ち出される可能性のある経路と格納媒体を整理してみましょう。以下が一般的な情報の経路および媒体です。業務形態やデータ容量の大小等により、漏洩に関するリスクも増減しますが、不正か正当な権限内のアクセスかにかかわらず、上記の経路と媒体の特性に応じた対策をそれぞれ実施する必要があります。それでは対策のポイントについて解説していきましょう。一般的なビジネス・ツールとして普及しているWeb/メールは、日常的にデータをやり取りするコミュニケーション基盤でもあり、最も漏洩リスクが高い媒体であるとも言えます。業務の利便性にも影響することから、セキュリティ面だけを重視した対策は実装しにくい面がありますが、機密性の高いデータとそれ以外のデータを重要度別に分けて対策のスコープを明確にすること等によりある程度の対応は可能です。上長承認Webのアップロードやメール送信等により社外にデータを送る必要がある場合に、業務上必要と判断したデータのみ上長承認を経て、アップロードや送信を可能とする。フィルタリング各種のフィルタリング設定により、社外への情報流出の経路を制御する。(Web)C&Cサーバ、業務に不要なサイト、情報漏洩の可能性のあるファイル共有サイト、Webメール等の特定のサイトへのアクセスやアップロードを禁止する。個人情報に関連する特定の文字列や形式(電話番号/クレジット番号等)を含むファイルのアップロードを禁止する。(メール)許可されていない社外の宛先に対して送信を禁止する。ファイル、メール・サイズ、添付ファイルのメディア・タイプ等から送信可否を判定する。ログ取得Webのアクセス・ログやメールの送信ログを取得/監視することで、情報漏洩に対する抑止力の向上や事後調査に活用する。USBメモリ/スマート・デバイス対策サーバやクライントPCにあるデータを共有したり、社外に持ち出す際には、USBメモリやスマート・デバイスに書き出す可能性が考えられますが、これも1つの漏洩経路となるため、対策としては以下のように、業務で必要な場合にのみ書き出しを可能とする仕組みが有効です。業務上不要と判断できる場合には、USBのポートを使用不可として、書き出しを完全に禁止する。書き出し制御(USBメモリ)一律の設定ではなく、ユーザ/グループ単位に書き出しの制御を設定する。個人所有のUSBメモリと混在している場合、許可したUSBメモリ(個体)にのみ書き出し可能とする。管理者が承認したファイルのみ書き出し可能とする。(スマート・デバイス)情報を保持する媒体としてはUSBメモリと同等の扱いとなるが、スマートフォン等は機種やアプリケーションによりWPD(Windowsポータブル・デバイス)以外として認識されるケースがあり、認識されるデバイスの種別や書き出し制御の可否を確認した上で対策や方式の決定が必要である。前述の情報漏洩に関する経路は全く異なりますが、通信ソフトウェアとプリンタの場合、PC側における対策の観点では類似性があるため、ここで対策のポイントをまとめています。通信ソフトウェアに関しては、一般的に漏洩リスクの高いPtoPを用いたファイル共有(交換)等のソフトウェアを想定しています。【対策のポイント】導入の抑制やデータの重要度に応じた対策を実施(通信ソフトウェア)社外との通信によりファイル共有を実施するソフトウェアの導入権限を抑止する。事前に社内利用における標準ソフトウェアを設定し、通信ソフトウェアを含む非標準ソフトウェアの導入は申請を義務化する。(プリンタ)許可されたPC以外はプリンタ・ドライバの導入権限を抑止したり、プリンタ操作時の認証を行う。PC/アカウント/データの重要度等の属性により重要データの印刷を制御する。カメラ/FAX対策カメラ/FAXの場合、情報の媒体やデータ自体の属性は異なりますが、使用用途が限定されており、いずれも専用の機器を使用するという点で類似性があります。以下に対策のポイントをまとめます。物理対策(カメラ)重要データにアクセスできるエリアを制限し、カメラ(カメラ機能を持つデバイス全般)の持ち込みを禁止とする。認証(FAX)FAX側でのアカウントや生体認証により送信を制御する。同時に通信ログの監視を行う。今回は持ち出し制御について解説しました。次回はアクセス制御/特権ID管理のポイントについて解説します。雄介ビジネスインフラ技術本部1992年入社。メインフレーム時代から28年間、企業の基幹となるシステム運用管理を中心としたパッケージ・ソフトウェア導入業務に携わる。直近の15年間ではセキュリティ分野に特化したソリューション開発やセミナー講師を務める。顧客の業務要件を広くヒアリングしてきた経験から、ソフトウェアの機能中心ではなく、顧客のスコープを明確化した上での最適な提案を得意とする。最後までご覧いただきありがとうございました。本記事でご紹介した製品・サービスに関するコンテンツをご用意しています。この記事の他にも、IT技術情報に関する執筆記事を多数公開しておりますのでぜひご覧ください。アプローチに焦点をあてサイバー攻撃対策の現実解をご紹介します。セキュリティ/仮想化2018.10.01その特権ID管理は本当にセキュアと言えるか~特権ID管理から特権アクセス管理へのシフトチェンジ~「特権ID管理」の重要性と簡単に管理できる製品をご紹介。海外では既に主流となっている「特権アクセス管理」という概念とそれを実現する製品もご紹介します。セキュリティ/仮想化2016.09.09クライアント環境における見落としがちな情報漏洩の新たな抜け道とは政府が無線LANの整備を促進しています。街中でのアクセスポイントが増強され利便性が向上する一方で、企業にとっては新たな危険も潜んでいます。本稿では、そのように変化する環境の中で、企業のクライアント環境における情報漏洩対策で見落としがちなポイントについてご紹介します。