株式会社日本ビジネスデータープロセシングセンター

情報漏洩対策を検討された経緯を教えてください。

弊社はソフトウェア開発業務、ＩＴサービス運用管理業務、ＩＴ統制・情報セキュリティ・ネットワーク関連業務の他に、病院の業務を請け負っている部門があり、受付・会計処理、業務の中でも重要なレセプト作成といった医療事務、また手術部の物品管理業務に至るまで、病院内で発生するあらゆる業務を代行するアウトソーシングサービス業務を行っております。メディカルサポート業務では、個人情報の中でも機微な情報を扱っていることもあり、信用拡大のためにプライバシーマークの認定を受けました。情報漏洩対策はその際に検討し、導入いたしました。

プライバシーマーク取得の準備は、どのように進められたのでしょうか。

2002年から取得の準備を開始いたしました。まず、基本方針を策定し、運用規定を策定しました。そして、入退室システムの導入、社内イントラネットの整備、情報漏洩対策のためのデータ保護ツールの選定を行いました。

「DocumentSecurity」導入のきっかけを教えてください。

当初、データ保護のためのツールは、「DocumentSecurity」ではなく、他社製品を導入していました。その際は、個人情報を絶対に外に出さないという運用を行っていました。ただ、出先機関も多く、社内から個人情報（社員情報）を持出さない運用規定には無理があり、データ自体の暗号化が必須となりました。そこで、ファイル単位に暗号化できる「DocumentSecurity」をメディカルサポート部門と総務等の管理部門に導入いたしました。情報を安全に流通させるという製品コンセプトが、弊社の業務形態に非常にマッチしていたからです。

「DocumentSecurity」を選択していただいた理由は何でしょうか。

弊社では、社外で作業している人が大半で、社外と個人情報等のやり取りが発生します。そのため、データを外に出した際も、セキュリティが保てる製品を探しました。4つほど製品を検討し、「DocumentSecurity」に決定しました。決定した理由は、

• 1． 暗号化の操作がWord／Excelの操作と一体となっており、複雑でないため使いやすい。
• 2． 出先へ送信するデータにDRM（印刷／編集制御等）を適用できる。
• 3． プライバシーマーク用に整備した文書カテゴリーを適用する事が出来、常にセキュリティレベルを意識した運用が可能となる。
• 4． 既存のソフトウェアやOS環境に悪影響を与えない。

など、業務内容に則した柔軟な運用が可能だからです。

運用方法を教えていただけますでしょうか

社内のデータはすべて共有サーバで保管しています。ユーザは全国9拠点から接続し、「DocumentSecurity」へのログインはシングルサインオンを利用しています。暗号化を行う際は、社内の文書管理規定と同じ管理手法を用いて、データの内容に応じて、個人情報文書（一般・重要・総務）／重要文書 A／重要文書Bの５つのカテゴリーを使用しています。
ユーザは決められたルールに沿って、カテゴリーを選択し暗号化するだけです。そして、ログに関しては暗号化・非暗号化文書ともに、ユーザが行ったOffice文書に対する記録が、自動的にログ管理サーバへ送信される仕組みになっています。ちなみに、非暗号化文書のログ管理は、自社製品の「文録ﾞ　for Office」が行っています。

導入後の効果はいかがでしょうか。

まず、管理者側のメリットは、トラブルがほとんどないことです。また、簡単に使用できるため、ユーザ教育やサポートがほとんど不要です。暗号化が簡単に出来るため、新任社員は、元からのOfficeの機能と思う程です。また、プライバシー審査だけでなく、2005年にISMSの初回認証を受けた際も、「DocumentSecurity」は評価されました。社内の規定、運用に則した柔軟なセキュリティ対策が可能な点が、評価ポイントです。PDCAサイクルを継続的に繰り返しポリシーの変更を行う場合でも、管理コンソールから一元的に設定変更出来る事も大きなメリットです。又、情報を安全に活用する事が出来ますので、C（機密性）・I(完全性)・A(可用性)のバランスが取れている事も、評価頂きました。特に可用性に優れている点が、他製品とは大きく違います。
ユーザ側のメリットとしては、ログイン、暗号化の操作は特別な操作が必要ないため、従来からの操作手順の流れを変更しなくて良い点です。また、暗号化機能を手軽に利用できる事から安心してデータの授受が可能となりました。その結果、セキュリティ意識も向上しています

今後の運用について

現状、USBメモリの使用を禁止する等のデバイス制御は行っていません。それは、ファイル自体が暗号化されているので、紛失した場合でもファイルが読み取れないからです。ただ、今後はデバイス制御も検討しています。また、社内のワークフローシステムとの連携も検討しています。