物理的安全管理措置は「区域」と「機器」という二方向から考える必要がある。ガイドラインではマイナンバー取扱区域の明確化を求めているが、区域のセキュリティで最も効果的なのが、入退室管理システムの導入である。だがスペースの関係上、それが難しいケースも多い。ガイドラインではパーテーションによって視線を遮るなどの工夫が紹介されているが、それらに加え、紙出力のセキュリティも注目したいポイントの一つ。マイナンバーが記載された書類を出力する機会がこれから確実に増えていく中、プリントアウトの放置対策が大きな課題になると考えられることがその理由だ。具体的には、複合機への個人認証システムや専用プリンター導入がその解決策になる。また廃棄・溶解サービスも今後さらに重要性を増すと考えられる。
　他にも入退室などを監視するWebカメラの導入も効果的だ。オフィスへのWebカメラ導入に抵抗を持つ経営層も多いが、不正行為そのものを抑止する効果があることは否定できない。機器の保全では、PCなどをオフィス器具に固定するセキュリティワイヤーの導入が強く求められている。



　　技術的安全管理措置は大きく、「アクセス権の設定による制御」「外部からの不正アクセス防止」という2方向から考えることができる。正当な権限を持つ者だけが情報にアクセス可能な状態を実現する方法としては、Active Di rectory（AD）によるネットワークリソースの一元管理、ファイル暗号化とパスワード設定による個別ファイルの保護などの方法が考えられる。中でもファイルへのアクセス権限を個別アカウントごとにきめ細かく設定できることに加え、グループポリシーの設定によって、企業が認めたソフトウェア以外のダウンロードを制限することなども可能になるAD導入提案は、エンドユーザー様のこれからのセキュリティ基盤を構築するうえで極めて有意である。
　また、これに関連して「どのPCで」「誰が」「いつ」「どのぐらいの時間」「何をしたか」を記録する操作ログ管理機能を備えたIT資産管理ソフトの導入もぜひ提案したい。いわゆるマイナンバー法では、情報漏えいにつながる行為を故意に行った者は処罰されるが、それが故意か否かを判断する際、操作時間等も含むログの存在は大きな意味を持つ。ログ取得は、不正の抑止力になるだけでなく、情報漏えい発覚後のトラブルから従業員を守るうえでも大きな意義を持つ点を強く訴求したい


　外部からの不正アクセス防止は、ファイアウォールの設置とマルウェア対策をベースに考えていくことになる。近年、標的型メール訓練サービスを利用するエンドユーザー様も多い。その結果明らかになったのは、どれだけ啓発に力を入れても、悪意ある添付ファイルの実行は決してゼロにはならないという事実だ。
　拡張子を注意深く確認することで、悪意ある添付ファイルはある程度見分けることが可能だ。だが、同僚の名をかたるなど標的型攻撃がより巧妙化する中、常に注意を払い続けることは決して簡単なことではない。マルウェアの発見に大きな効果があるのが、仮想環境上で実際にファイルを実行し、そのふるまいを観察することでマルウェアを検知する「サンドボックス」と呼ばれるソリューションだ。マイナンバーを実際に運用する自治体のシステムに導入が義務けられているサンドボックスは、SaaSとしての提供も開始されている。
　なお、ローカルで実行されたマルウェアは、そこからシステムに侵入し、通信回線を経由してデータを外部に持ち出すことが一般的だ。水際対策としては、IT資産管理ソフトが備える外部との通信ログのチェックも有効だ。標的型攻撃によるデータ流出先が、海外小国のサーバーであることが多いからである。

続き「個人情報や機密情報が危ない　お客様の情報を守るのは、パートナー様の使命です！」は本紙でご覧下さい。