|
「印刷」ボタンを押すと記事が一括印刷できます。印刷しない場合は「ページを閉じる」ボタンを押してください。 |
|
|
「eふぁみり セキュリティ連載」 第2回
|
|
パソコンにおける情報漏洩対策について |
|
昨今、組織からの情報漏洩事件が相次いで発生し、大きな社会問題となっています。漏洩事件を起こした組織はコスト面だけではなく、社会的信用においても深刻な影響を受けることになるため、今や情報漏洩は組織全体で取り組まなくてはならない問題といえます。情報漏洩対策を防止するための方法は多岐に渡りますが、今回の連載では、大きな情報流出経路の一つであるパソコンに焦点を当てて説明したいと思います。 情報漏洩の6割以上は人為的ミスとも言われており、パソコン利用者のさらなるセキュリティ知識の向上や適切な情報漏洩対策が求められています。今回の連載では「今すぐ出来るパソコンの情報漏洩対策」と題して、簡単かつ効果の高いパソコンのセキュリティ対策を、具体的な設定方法と共に紹介していきます。ぜひお使いのパソコンのセキュリティ対策に役立てて頂ければと思います。
1.1 情報漏洩の脅威去年から今年にかけて大規模な情報漏洩事件が続発しています（図1） 情報漏洩による影響は関係者に対する損害賠償費用や事後処理費用といったコスト面だけではなく、ブランドイメージの低下、社会的信用の失墜といったイメージ面にまで及び、組織に対して致命的なダメージを与えることになります。（図2） また最近では組織にとって重要な情報の多くがパソコンに格納されるようになり、情報漏洩は悪意を持った人間（クラッカー）によるものよりも、内部の人間のミスによって発生することが多くなってきています。 このような人為的ミスによる情報漏洩を防ぐためには、利用者がセキュリティに対する正しい知識を身につけ、ミスをした場合でも漏洩につながらないように2重3重のセキュリティ対策を行うことが大切です。
まずはじめに組織における情報漏洩対策の概要について説明いたします。 組織における情報漏洩対策には大きく分けて外部からの攻撃（クラッカーなど）に対する対策と、内部からの漏洩に対する対策があります。情報漏洩事件の多くは内部からの漏洩によるものと言われており、今や内部漏洩対策は欠かせないものとなっています。（図3） 内部からの漏洩に対する対策を考えるに当たり、ポイントとなるのは性善説と性悪説という考え方です。（図4） 性善説では、悪い人間はいないという前提で社員は自分の担当する範囲の情報にしか興味を示さない、つまり機密情報を外に持ち出さないと考えます。このため、誰もが全ての機器や情報にアクセスができる環境が作られることになります。 このように情報漏洩対策は「性善説」と「性悪説」、どちらか一方だけに基づいた運用ではうまく進めて行くことができません。従って「性善説」に従いつつも「性悪説」も考慮し、リスクが大きく、かつ対策のパフォーマンスが高いところから順に対策を進めて、内部犯罪のリスクを低減させていくのが現実的な対策となります。
2.1 情報漏洩対策のステップ次に実際の情報漏洩対策の進め方について説明いたします。 ステップ1： 基盤強化対策発生した場合の被害が大きく、対応に要する費用が低いものについて対策を行います。
ステップ2： 個別リスク対策次に発生した場合の被害が大きく、対応の費用が高いものについて個別に対策を行います。
これらの技術的な対策と組織的な対策をバランスよく行いながら、情報漏洩対策を進めていくことになります。
情報漏洩の約8割は内部からの漏洩と言われており、その内訳においては内部の人間による故意の犯行に加え、パソコンの盗難・紛失といった過失による漏洩も大きな割合を占めています。
3. 1 アクセス制御パソコンにおける情報漏洩対策の基本は、第三者を重要な情報にアクセスさせないことです。 (1) 起動時の利用者確認起動時にパスワードによる利用者確認を行い、第三者によるパソコンの使用を制限します。 ■WindowsログオンパスワードWindowsにログオンするためのパスワードです。 このパスワードが設定されていないと、誰でも自由にパソコン内の情報にアクセス出来るようになってしまいます。必ず設定すると共に、可能な限り強固なものを使いましょう。
■BIOSパスワードBIOSとはパソコンを起動したときに一番始めに読み込まれて、マウス、キーボードなどの周辺機器の動作を制御するプログラムの事です。
■ハードディスクパスワードハードディスクを他のパソコンへつないで中身を読み出すことを防止するためのパスワードです。
(2) 起動後の利用者確認起動時のパスワード設定だけでは、パソコンの起動後に盗難・紛失にあった場合に利用者の確認を行うことができません。そのため起動後にもパスワード確認を行う設定を行います。 ■スクリーンセーバー復帰時のパスワードによる保護スクリーンセーバー画面から復帰する際にパスワードを求める設定です。
■スタンバイ回復時のパスワードによる保護パソコンを数十分放置しておくと自動的に電源が切れる設定になっている場合があります。この電源が切れた状態をスタンバイ状態といいますが、この状態から回復する際にパスワードを要求する設定です。
(3) 機密性の高いフォルダ、ファイルのアクセス制限重要な情報が入ったフォルダ、ファイルにアクセス制限をかけて不正なアクセスを防ぎます。 ■フォルダ・ファイルへのアクセス権限の設定OSの機能を利用して重要なフォルダ・ファイルにアクセス権限を設定します。
3. 2 データ暗号化次に、パソコンの盗難などによって重要な情報にアクセスされた場合の対策として、データの暗号化を行います。 機密性の高いデータの暗号化■パソコン内のフォルダ、ファイルの暗号化重要なデータが入ったフォルダ、ファイルは一箇所にまとめ、OSの機能を使用して暗号化を行います。暗号化されたデータは他のユーザが読むことが出来なくなるため、パソコンの盗難時にハードディスクを取り外された場合でも、機密の漏洩を防ぐことができます。ただし、OSの暗号化機能が使用できるのはNTFSファイルシステム（注）を使用している場合に限ります。それ以外のファイルシステムを使用している場合には、別途暗号化ソフトを導入して暗号化を行うようにします。 （注： Windows NT4.0、2000またはXPなどで使用されます）
■メール添付ファイルの暗号化機密情報をメールに添付する場合には、必ず暗号化を行います。 ■可搬媒体（USBメモリ、MO、フロッピーなど）内のファイルの暗号化USBメモリやMOなどの可搬媒体は小型、軽量で持ち運びやすい反面、紛失による情報漏洩の危険性があります。そのため格納するデータは必ず暗号化を行います。暗号化には別途暗号化用ソフトを導入するか、媒体に暗号化用のアプリケーションが付属している場合がありますので、それを利用して暗号化を行いましょう。
3. 3 セキュリティ意識の向上以上、アクセス制御、データ暗号化といったパソコンにおける技術的な対策を紹介しましたが、これらはあくまで第三者にパソコンやデータを盗まれた時の保険的な対策にすぎません。情報漏洩対策を行う上でもっとも大切なことは、そもそも情報を盗まれないようにすることです。そのためには日頃からセキュリティの意識を高く持ち、情報漏洩につながるような行動を避けることが大切です。以下に、日頃から守っていただきたいセキュリティのポイントを挙げました。これらのポイントを守るように心掛け、セキュリティ意識の向上に努めるようにしましょう。 (1) ID / パスワード管理■脆弱なパスワードの禁止パスワードは以下の決まりを守って設定するようにしましょう。
■定期的更新、パスワードのメモ化禁止パスワードは定期的に変更しましょう。 また、メモや付箋等に記録したパスワードを第三者が容易に見ることの出来る場所に置かないようにしましょう。(2) 置き忘れ、盗難の防止■外出先でのノートパソコン、可搬媒体(USBメモリ、MO、フロッピーなど)の取り扱い方法外出時にはノートパソコンや可搬媒体を手放さないようにしましょう。 (3) 印刷物の取り扱い■機密文書の印刷管理、重要廃棄の徹底等機密文書の印刷を行ったらすぐに取りに行くことを心掛けましょう。
以上、組織における「情報漏洩対策の概要」と、「今すぐ出来るパソコンの情報漏洩対策」の2点についてご説明いたしました。 情報漏洩事件が大きな社会問題となっている今日、情報漏洩はシステムの管理者だけが取り組むものではなく、利用者側でも取り組まなくてはならない問題です。パソコンの盗難、紛失という身近な問題が情報漏洩事件という大きな問題につながることを心に留め、日頃からセキュリティの意識を持って適切な対策を行うように心掛けましょう。
ご参考URL
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
| All Rights Reserved, Copyright（C） FUJITSUファミリ会 |
