06:00企業としてさらに強固なセキュリティ対策を施すきっかけとなるような情報漏洩対策のポイントや考え方をご紹介する本連載、4つ目の楯は「持ち出し制御」です。基本的には業務上の必要がなければ情報を持ち出さないようにすることが重要です。業務上持ち出さねばならない場合や不正に持ち出される場合を想定し、対策を講じなければなりません。いずれにしても情報が社外に漏洩する(不正に流出する)場合、必ず情報が持ち出される経路と媒体が存在します。情報が持ち出される可能性のある経路と格納媒体を整理してみましょう。以下が一般的な情報の経路および媒体です。業務形態やデータ容量の大小等により、漏洩に関するリスクも増減しますが、不正か正当な権限内のアクセスかにかかわらず、上記の経路と媒体の特性に応じた対策をそれぞれ実施する必要があります。それでは対策のポイントについて解説していきましょう。一般的なビジネス・ツールとして普及しているWeb/メールは、日常的にデータをやり取りするコミュニケーション基盤でもあり、最も漏洩リスクが高い媒体であるとも言えます。業務の利便性にも影響することから、セキュリティ面だけを重視した対策は実装しにくい面がありますが、機密性の高いデータとそれ以外のデータを重要度別に分けて対策のスコープを明確にすること等によりある程度の対応は可能です。上長承認Webのアップロードやメール送信等により社外にデータを送る必要がある場合に、業務上必要と判断したデータのみ上長承認を経て、アップロードや送信を可能とする。フィルタリング各種のフィルタリング設定により、社外への情報流出の経路を制御する。(Web)・C&Cサーバ、業務に不要なサイト、情報漏洩の可能性のあるファイル共有サイト、Webメール等の特定のサイトへのアクセスやアップロードを禁止する。・個人情報に関連する特定の文字列や形式(電話番号/クレジット番号等)を含むファイルのアップロードを禁止する。(メール)・許可されていない社外の宛先に対して送信を禁止する。ファイル、メール・サイズ、添付ファイルのメディア・タイプ等から送信可否を判定する。ログ取得Webのアクセス・ログやメールの送信ログを取得/監視することで、情報漏洩に対する抑止力の向上や事後調査に活用する。~フィルタリングやログの取得~2.USBメモリ/スマート・デバイス対策サーバやクライントPCにあるデータを共有したり、社外に持ち出す際には、USBメモリやスマート・デバイスに書き出す可能性が考えられますが、これも1つの漏洩経路となるため、対策としては以下のように、業務で必要な場合にのみ書き出しを可能とする仕組みが有効です。業務上不要と判断できる場合には、USBのポートを使用不可として、書き出しを完全に禁止する。書き出し制御(USBメモリ)・一律の設定ではなく、ユーザ/グループ単位に書き出しの制御を設定する。・個人所有のUSBメモリと混在している場合、許可したUSBメモリ(個体)にのみ書き出し可能とする。・管理者が承認したファイルのみ書き出し可能とする。(スマート・デバイス)・情報を保持する媒体としてはUSBメモリと同等の扱いとなるが、スマートフォン等は機種やアプリケーションによりWPD(Windowsポータブル・デバイス)以外として認識されるケースがあり、認識されるデバイスの種別や書き出し制御の可否を確認した上で対策や方式の決定が必要である。前述の情報漏洩に関する経路は全く異なりますが、通信ソフトウェアとプリンタの場合、PC側における対策の観点では類似性があるため、ここで対策のポイントをまとめています。通信ソフトウェアに関しては、一般的に漏洩リスクの高いPtoPを用いたファイル共有(交換)等のソフトウェアを想定しています。【対策のポイント】導入の抑制やデータの重要度に応じた対策を実施(通信ソフトウェア)社外との通信によりファイル共有を実施するソフトウェアの導入権限を抑止する。事前に社内利用における標準ソフトウェアを設定し、通信ソフトウェアを含む非標準ソフトウェアの導入は申請を義務化する。(プリンタ)許可されたPC以外はプリンタ・ドライバの導入権限を抑止したり、プリンタ操作時の認証を行う。PC/アカウント/データの重要度等の属性により重要データの印刷を制御する。4.カメラ/FAX対策カメラ/FAXの場合、情報の媒体やデータ自体の属性は異なりますが、使用用途が限定されており、いずれも専用の機器を使用するという点で類似性があります。以下に対策のポイントをまとめます。物理対策(カメラ)重要データにアクセスできるエリアを制限し、カメラ(カメラ機能を持つデバイス全般)の持ち込みを禁止とする。認証(FAX)FAX側でのアカウントや生体認証により送信を制御する。同時に通信ログの監視を行う。今回は持ち出し制御について解説しました。いかがでしたか?次回はアクセス制御/特権ID管理のポイントについて解説します。連載通知を行うには会員登録(無料)が必要です。会員の方はログインを行ってください。メインフレーム時代から23年間、企業の基幹となるシステム運用管理を中心としたパッケージ・ソフトウェア導入業務に携わる。顧客の業務要件を広くヒアリングしてきた経験から、ソフトウェアの機能中心ではなく、顧客のスコープを明確化したうえでの最適な提案を得意とする。直近の10年間ではセキュリティ分野に特化した製品開発やセミナー講師を務める。EYACCの森島さんはいかにして生まれたのか318SAPが会津若松で中小企業のものづくりのイノベーションに取り組む理由296AWSでセキュリティを高めるために今すぐやるべき7つのこと262企業のデジタルシフトはIoT、5G、サブスクリプションが牽引。ログインEメールパスワード※旧SEメンバーシップ会員の方は、同じ登録情報(Eメール&パスワード)でログインいただけます。パソコン「EnterpriseZine」(エンタープライズジン)は、翔泳社が運営する企業のIT活用とビジネス成長を支援するITリーダー向け専門メディアです。イラストの無断転載を禁じます。記載されているロゴ、システム名、製品名は各社及び商標権者の登録商標あるいは商標です。