月: 2023年12月

昨今では、情報漏洩が報道されることが多い。そして、経営者としては、情報システム部門に漏洩を防げ！と命令する。USBメモリで情報持ち出しが問題になれば、USBメモリの使用を禁止するという本質的ではない、まったく意味の無い対応をすることも少なくない。

コールセンターはNTTマーケティングアクトProCX（プロクス、大阪市）が企業や自治体から請け負い、サーバー管理を担うNTTビジネスソリューションズ（大阪市）の元派遣社員がUSBメモリーを使って持ち出した

NTT西日本系、顧客情報流出は928万件　顧客は69団体 – 日本経済新聞 (nikkei.com)

国立病院機構茨城東病院（茨城県東海村）は22日、院内で患者延べ6138人の個人情報が入ったUSBメモリーを紛失したと発表した。この日までに第三者への流出や不正利用は確認されていないという。

茨城東病院、患者の個人情報入ったUSBメモリー紛失 (msn.com)

などなど。

USBメモリの利用制限が本質的な解決方法にならない理由は”情報漏洩”の定義にあり

確かにUSBメモリは情報の持ち出しに便利なデバイス。大量のデータを持ち出すのも簡単。では、USBメモリでないと情報は持ちだせないのか？といえば、そんなことはない。画面に表示されたデータをスマホで撮影したり、紙に手書きしても、そのスマホや紙を紛失すれば漏洩の可能性がある。

漏洩したデータが1件であっても、USBメモリを使って大量でも、漏洩は漏洩。少量のデータだから漏洩にならないということにはならない。では、紙の利用は制限するか？といったら、漏洩したから紙の利用を制限したなんて話はきかない。

いずれも内部監査において、お客さま情報が記載されている書類の紛失が判明しました。
紛失した経緯は明らかになっておりませんが、個人情報管理態勢および文書管理が厳正に行われていないことから、紛失するリスクがありました。

お客さま情報が記載された書類の紛失について (shimanami-shinkin.jp)

このしまなみ信用金庫の書類紛失事件でも、その後、書類の使用は禁止していない（当然だけれども）。

適切な情報漏洩防止対策はシンプル

再発防止策は、以下の通り。

当金庫は、今回の事態を重く受け止め、全職員に対し、個人情報管理および文書管理に関する周知・教育を改めて実施いたします。

お客さま情報が記載された書類の紛失について (shimanami-shinkin.jp)

このケースに限らず、情報漏洩経路が、書類なのかUSBメモリなのかは、実はどうでもよくて、上記の例のように、再発防止は、「個人情報管理および〇〇管理に関する周知・教育」なのだ。〇〇には、書類やUSBメモリ以外に、オンラインストレージなども該当する。

「その4」コンピューターウイルスと一般的なウイルスの根本的な違い – Yuma Shimakawa Blog

の続き。超短縮版ウイルスの歴史。

前回、大昔のウイルスは愉快犯が多かった、その後、金銭目的になったと述べた。

不特定多数攻撃から特定攻撃への変化

ネットを介するので、ウイルスは拡散しやすいという特徴があるので、不特定多数を攻撃するのに優れているのは間違いないのだが、不特定多数攻撃は、あまり流行らなかった。というのも、アンチウイルスソフトでの新ウイルス対策スピードも同時に進化したので、ウイルスの発見も早いし、対策も早かった。結果、あまり金にならなかったと思われる。

不特定多数がダメなら、特定の企業への攻撃。いわゆる標的型攻撃というやつが、現在では、現在では主流となっている。

「うちの会社はセキュリティは重要ではないんですよ！」なんていう人はいない。が、その「セキュリティ」曖昧な言葉なので、まずはセキュリティはなんぞや？！ということを理解しなければならないのだけれど、これが以外と複雑なので一旦わすれて、最初に思いつくウイルス対策について。

コンピューターウイルスは自然発生しない

一般的にウイルスといえば、古くは天然痘、ちょっと前ならエイズ、毎年新種が出現するのがインフルエンザ。一般的にウイルスといえば、こんなのを指す。これらウイルス自然発生するのだが、コンピュータウィルスはしない。この点重要。コンピューターウイルスは、誰かが意図的に作成している、つまりは、攻撃者が存在していることを理解する。

攻撃者の目的はなにか？

大昔のコンピューターウイルスは、目立ちたかったり、他人のコンピュータ麻痺させて喜んだり、愉快犯も少なくなかったが、現在は、ほぼ金目当ての犯罪。

というのも、攻撃するコストは異様低く、かつ、攻撃成功のあかつきには、対価もでかい。世界中どこからでも攻撃できるので、捕まるリスクも少ない。ローリスクハイリターンなのがウイルスによる攻撃ということになる。

最初に実施することは、そのエラい人が、社内のセキュリティリテラシー（知識）基準になる必要があるというのを説明すること。

セキュリティ強化したいなら、まず、自らの強化が必要なのを理解してもらうこと。

会社の防災は総務だけの仕事ではない、同様にセキュリティもIT部門だけの仕事ではない

防災の日に避難訓練する企業は少なくない。その避難訓練、企画するのは総務部の仕事だが、実際に訓練するのは、（基本的に）社員全員。非常時の経路の確認（理解）や場合によっては消火器の使い方等も学ぶ。

ITセキュリティも同様。セキュリティ強化の責任は、IT部門にあるが、セキュリテイ知識の習得や理解は、エライ人も含め社員全員が理解しなければならない。

「ITは難しくてわからないんだよ」とか言っている場合ではない。