PR

監修・NPO日本ネットワークセキュリティ協会 セキュリティ監査WG
文・大溝裕則(ジェイエムシー 情報セキュリティ統括役員〔CISO〕)

 昨今、個人情報の漏えい事故が新聞やテレビをにぎわしています。外部からインターネット経由で悪意を持ってクラッキングするというのが、派手な印象を受けますが実際の事故事例を見ると、このようなケースは少数です。

 現実は、内部犯行による漏えいや、持ち出した機密情報を紛失するといったことから漏えい事故が起きることが多いのです。

 自治体のオフィスでは、一人一台のパソコン環境がまだまだ整っておらず、1台のパソコンを複数の人が共用している場合が多いようです。また、紙で管理されている過去からの重要な情報を保管していることも多いと思います。つはり、自治体の庁舎内は情報を持ち出しやすい空間であると言えます。それを踏まえ今回は物理的、環境的なセキュリティ対策についていくつか例を挙げて解説します。

■情報漏えい時のトレーサビリティを確保

 経済産業省の『情報セキュリティ管理基準』の5.3.2に「装置、情報又はソフトウェアは指定場所から無認可ではもち出しできないこと」とあります。つまり、認可する人を決めて管理しなければならないということです。

 リスクアセスメントを実施した結果、機密性が「高・中・低・公開情報」の4種類に分類された場合は、下記のような管理策が考えられます。

機密性 物理的な側面からの管理策 管理者の
必要性
常に施錠し、持ち出し・返却時は台帳に日付、担当者などを記入する
常に施錠する
執務開始時に開錠し、執務終了時に施錠する
公開情報 特に管理策なし ×

 公開情報とは、パンフレットのような誰でも見ることができる情報で、カウンターの上でもどこでも置くことができ、特に管理策は必要ありません。それ以外の情報については、機密性が高くなるほど、情報漏えい対策としては厳しくなり、利便性は悪くなります。

 これらの管理策以外にも、機密性が高い情報のコピーをとって持ち出す場合には注意が必要です。電子データあるいは紙の情報は、コピーであっても情報の価値は変わりません。コピーを持ち出す場合は、管理者がコピーそれぞれに識別できる番号などを記入し、コピーの部数、持ち出す人の名前、返却の有無を把握して管理しなければなりません。このように、持ち出しの履歴を明確にすると、持ち出す人のセキュリティの意識が向上することも期待できます。

 機密性の高い情報の漏えい防止を目的とした管理策としては、やり過ぎのように感じる方もいるかもしれませんが、このような管理策にはもう一つの目的があります。それは、起こってはならないのですが万一情報が漏えいした時のトレーサビリティを確保するという目的です。

 事故の原因を正確に捉えないと、効果的な再発防止策を立てることはできません。現実に起きている情報漏えい事故の事例を見ても、原因が特定できなかった事故の場合は、再発防止策が発表されても「なぜこんな面倒なことをやらなくてはならないのか?」と釈然としないものを感じる人が多いと思います。つまり、事故原因を追跡できるようなルールを事前に準備しておくことが、危機管理を考えると重要なことになるのです。前回のコラムで解説した「事故が起きた場合に速やかに報告できる体制作り」と合わせて、点検しておきたいポイントです。

■第三者が入るゾーンの安全性を確認する

 『情報セキュリティ管理基準』の5.2.1には「装置は、環境上の脅威及び危険からのリスク並びに認可されていないアクセスの可能性を軽減するように設置し又は保護すること」とあります。

 このコントロールの簡単な例としては、コピー機やプリンターの設置場所があります。職場が狭いためや、複数の部屋で共有しているためコピー機を廊下に設置している自治体の庁舎をよく目にします。さすがに、プリンターを廊下で目にしたことはありませんが、プリンターとコピー機の複合機も増加傾向にあります。不特定多数の人々が行き来する廊下では、誰が何をコピーしていても不自然さを感じることはあまりないでしょう。このような場所へのコピー機やプリンターの設置は、セキュリティ上お勧めできません。

 情報セキュリティ監査は、「情報セキュリティを維持管理していく仕組みがあるか? また、それが機能しているか?」という視点で監査します。いわゆるマネジメントシステムが、きちんと機能しているかという視点です。ですから、組織変更や異動などで、物理的・環境的な変更がある時は、職場のレイアウトを情報セキュリティの観点から見直すことも考えてみてください。


◆サブコントロール解説コーナー◆

5 物理的及び環境的セキュリティ

5.2 装置のセキュリティ
目的:資産の損失、損傷又は劣化、及び業務活動に対する妨害を防止するため

5.2.5 所有権に関係なく、組織の敷地外で情報処理のために装置を使用する場合は、管理者が認可すること

5.2.5.3 ポータブルコンピュータは、外出時には、手荷物として持ち運び、可能ならば見せないようにすること

【解説】

 ここで言うポータブルコンピュータとは、ノートパソコンのことです。「管理者が認可すること」とあるように、「外出時にはノートパソコンは持ち出してはいけない」というようなセキュリティポリシーを定めている自治体では、持ち出し自体がルール違反になります。

「手荷物として」の意味については、「手から離さずに」あるいは「目の届くところに置いて」というように解釈した方が良いと思います。具体的には、「電車に乗っている時(特に座っている時)は網棚に載せない」また、「駐車して車を離れる時には、車内に置きっ放しにしない」ということです。つまり置き引きや、車上荒らしといった犯罪からノートパソコンを守るということです。

ただし、犯罪という脅威を前提に考える場合には、絶対に防ぐ方法はないので、万一盗難にあった場合に備えデータの暗号化や、USBキーのような認証デバイスも検討した方が賢明です。


筆者紹介 NPO 日本ネットワークセキュリティ協会
セキュリティ監査ワーキンググループ
2002年に経済産業省が主宰する「情報セキュリティ監査制度」策定のための委員会に、JNSAとしての意見、研究成果を報告した。これらの成果は「情報セキュリティ監査制度」に反映され、2003年4月に施行開始となった。2003年はJNSAとして独自の電子自治体情報セキュリティ管理基準を策定し、公開。コラム執筆は大溝裕則(ジェイエムシー)、河野省二(ディアイティ)、夏目雅好(ネットマークス)、丸山満彦(監査法人トーマツ)、吉田裕美(ジェイエムシー)が担当。