昨年機密情報管理体制強化の一環として、監視ツールを導入しました。その結果、アンチウイルスソフトでは検知されないウイルスの侵入が定期的に発見されるようになりました。何らかの対策が必要ということを課題として認識し、情報収集をしていたところに、日本年金機構での個人情報漏洩事件が起きました。上層部から情報管理体制を強化するよう指示があり、急ピッチで対策を検討することとなりました。

ファイヤウォールやアンチウイルスといった基本的なセキュリティ対策に加え、資産管理やWebフィルタリング、メールフィルタリング、監視ツールを順次追加導入して運用してきました。しかし、情報が流出した後の対策はできていませんでした。

怪しいメールは開かない、添付ファイルに気を付ける、ということは、セキュリティの基本と言われており、事実その通りです。しかし、実際の攻撃は非常に巧妙です。一見して「怪しい」と思わせないように工夫されていますから、個人のITスキルやリテラシに依存するルール運用では、到底防ぐことはできません。このようなヒューマンエラーは起こる、という考えのもとでシステムを強化しようと考えました。

機密情報が含まれるファイルがネットワーク外に出ていく、ということを前提に検討を開始しました。ウイルスによるデータの流出だけでなく、部署によっては機密データを業務委託先などとやり取りする場合もあるからです。
システム関連を委託している事業者に相談した結果、いくつかの提案がありました。まずは、ハードディスクの暗号化製品です。しかし、ハードディスク外にデータを出した時点で暗号解除され平文化されるため、流出後の対策にはなりません。次に、サンドボックス型のふるまい検知製品も提案されましたが、根本対策にはならず、さらに価格が大変高価なことから今回は見送りました。組織内からは、導入済のメールフィルターで十分ではないか、という意見もありましたが、メール送受信時には有効なものの、それ以外の保存データは保護されません。結局、データ流出後の対策としてもっとも適していると判断したのがファイル単位の暗号化でした。

検討開始から製品選定までスピーディに進めてきましたが、テストには相当時間がかかると踏んでいました。しかし、InterSafe FileProtectionでは、ALSIが提供する「ILPお試しクラウド」上でテストができます。そのため、テスト環境の準備はALSIに任せることができ、ほんの数日でテストが始められたのでとてもありがたかったです。

急ぎ対策を進める必要があった為、優先度の高い機密情報を扱う部門から部分的導入を開始しました。実際の導入は、システム委託先に依頼しました。利用端末へのクライアントプログラムの展開は、ログオンスクリプトやプログラム配布のツールを利用することができ、作業負荷はあまりかかりませんでした。導入から運用まで、情報システム部門のかゆいところに手が届く、きめ細かな設定が準備されていて、よく考えられているなと改めて感心しています。

事前に導入説明会を実施していたため、操作の面で特別な質問を受けるようなことはありませんでした。ファイルを暗号化するための特別な操作が必要ないこと、また暗号化したファイルの拡張子やアイコンの見た目
が変わらないことから、職員にも抵抗なく受け入れてもらっています。業務に混乱をきたすようなことは今のところ起きていません。ただ、外部とのデータやり取りの際に、暗号化ファイルをメールで送ってしまい、先方からデータが見られない、という連絡を受けることもあるようですが運用に慣れるうちに徐々に減っていくことと思います。

部分導入での運用を始めたばかりですので、今後は順番に組織全体への展開を進めています。また、ネットワーク外の出先機関で業務を行っている部門があります。この部門に対して、スタンドアロン管理オプションを使ってInterSafe FileProtectionを導入したいと考えています。またSDKにより文書管理ソフトとの連携についてもすでに検討を開始しました。
今回は、データ流出後の対策を優先して導入しましたが、今後は情報を外に出さないための対策も強化が必要です。ALSIでInterSafe ILPとして提供しているデバイス制御やデータ書出しの原本管理なども追加して、多層的に根本的な情報漏洩対策体制を構築していきたいと考えています。