以前、このような内部犯行をどうしているか現場の方に話を聞いたときには、必ず兆候があるので、その兆候を見逃さないこと、そしてちょっとした不正が成功しないようにするということが重要だと述べていました。兆候もちょっとした不正も、実は大したことではありません。例えば、全く無意味なファイルでもUSBメモリにコピーできた、個人のメールアドレスに対し、社内のファイルを添付しメール送信を行ったなどが「成功してしまった」ことが、実はちょっとした不正として確認すべきことです。これらに対して、なんのワーニングも検知もできていなかった場合、従業員は「あれ？ これ大丈夫なのか！」という"成功体験"を持つことになります。そこに"不満"が重なったとき、じゃあ次はこの顧客名簿をUSBメモリにコピーしてみよう、どうせ検知はできてないはず……ということにつながってしまいます。おそらく、今回の事件もそのようなステップがあったのではないでしょうか。

「情報セキュリティ10大脅威 2021」では内部不正による情報漏えいが6位と、前年に比べ下がってはいる。しかし重要度は非常に高いはず

この事件から何を学べるか

　だからこそ、どの業種においても基本的なセキュリティ対策と、検知する力が必要です。これは「見える化」や「サイバー空間も清潔にする」ともいえるでしょう。

　まずはしっかりと、細かなことでも監査ができるようにし、ちょっとした不正を行わせないこと。コンプライアンス的に問題のある行為は、どんなに小さなことでも検知し警告することで、会社はしっかりと見ているということを認識させることが第一歩です。これについては、「User and Entity Behavior Analytics」（UEBA）と呼ばれるユーザーの振るまいを検知するソリューションが注目を集めています。

　ただ、その施策を強めると「監視」というように捉えられ、肩身が狭く感じるかもしれませんが、そこはしっかり経営層が理由を説明し、従業員を悪者にしないためであることを共通認識として持つようにしましょう（もちろん、不満のはけ口は別途用意しておく必要はあるでしょう）。

　また、今回の事例でいうとID／パスワードの管理がずさんであることは間違いありません。特権IDと呼ばれるような、データの操作ができてしまうレベルのIDは、一時的に発行したとしても、そのユーザーの行動の監査は必須です。もちろん、不必要になったら権限を整理することも必須です。管理者権限を持つID／パスワードが共有されている事例も多いかもしれません。その運用はいますぐやめるべきでしょう。

　今回の事例では、しっかりとバックアップが残っていたのは不幸中の幸いでした。バックアップに関しても、取得するだけでなく「戻す」ことも考え、マニュアル化や練習しておくとよいでしょう。今回の事件は、多くの教訓を与えてくれました。事件が起きてしまったことは仕方ないので、それをいかに自分ごととし、糧とするかが重要です。その意味では、警視庁には本件の詳しいレポートを公開してもらえると、とてもありがたいのですが……。

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！