「人」が起こしてしまう情報漏えい

yukimatsu — Tue, 05 Apr 2011 09:05:06 +0000

IPAから2011年3月24日に「2011年版 10大脅威『進化する攻撃・・・その対策で十分ですか？』」が公開されました。
PDFで資料がダウンロード可能ですのでセキュリティ担当の方は目を通しておいた方が良いでしょう。

今回から何回に分けて10大脅威の中で気になった点をブログで取り上げていきたいと思います。
まず、最初は堂々の（？）第1位となった「人」が起こしてしまう情報漏洩です。

ちなみに「人」が起こしてしまう情報漏洩は2006年度からずっと10大脅威にランクインしている定番の脅威です。

2006年度からの順位の変遷は以下のようになっています。
7位(2006)→3位(2007)→5位(2008)→5位(2009)→1位(2010)

セキュリティ対策というとイメージ的には、何でもかんでもシステムで対応すると思われている方も多いですが、実際はそんなことはありません。
もちろん中にはお金がたっぷりあってシステムでガッチリしている会社もありますが、多くの中堅・中小企業ではシステム以外の部分での対応もしています。

俗に言う「運用でカバーしています」という状況です。
この場合はどうしても漏洩が起こる可能性が高くなります。

資料では故意による情報漏えいとして①データの持ち出しと②暴露・組織外部への情報流布、過失による情報漏えいとして①誤送信と②紛失・盗難が上げられています。

故意による情報漏えいの②に関しては、TwitterやFacebookを始めとして個人でも手軽に情報を外部に発信できる環境になったのも影響していると思います。
悪気がなくて、いつものようにつぶやいたら、つぶやいた内容に業務内容が含まれていて後で取り返しがつかなくなった事例もあります。

過失による情報漏えいの①に関しては、メール、FAXともに誤送信がなかなかなくなりませんね。
こちらに関してはメールの暗号化等で間違えて送っても内容が分からないようにする等のソリューションが出ていますので自社にあった対応をしていくのが良いと思います。

敢えてメールの利用を制限して、チャットや掲示板で情報のやり取りをするのも1つの手段だと思います。

情報漏えいの場合は、起こってしまった場合に企業イメージの低下や損害賠償等が発生するなど企業経営に直接影響を与える可能性があるので従業員が増えるほど、しっかりと対策をとっていかないとダメでしょう。

[参考サイト] IPA：「2011年版 10大脅威進化する攻撃．．．その対策で十分ですか？」を公開

大阪のベンチャー企業 LRM代表幸松のブログ » 情報漏えい

「人」が起こしてしまう情報漏えい