BPNavigator to GO - コラム＞IT活用とは

　大塚商会の販売最前線からお届けするセールスノウハウマガジン「BPNavigator」のWEB版です。

2007年1月時点の情報を掲載しています。

個人情報保護法の施行から時間が経過したせいか、最近では日本版SOX法に関連したITソリューションの記事や広告を多く目にするようになってきた。しかし、情報保護に対する取り組みは、法令の施行直後だけのものではなく、企業活動を継続していく上において、永続的に発生する責任となっている。マスコミでも、かなり大型の漏えい事件しか取り上げられなくなっているが、現実には数件～数百件単位の情報漏えいは日常茶飯事で起きている。そうした課題から、企業を守る対策について考えてみた。

情報が漏えいしてしまう仕組み

　そもそも、どういう経緯で情報の漏えいが発生してしまうのだろうか。その代表的な事象をまとめてみると、大きく三つに分かれる。「盗難」「紛失」「誤操作」である。まず、「盗難」は明らかに犯罪目的で行われる情報漏えいだ。外部だけではなく内部からの情報の盗み出しも、過去に大きな事件となっている。次の「紛失」は、もっとも多いケースだ。ノートパソコンやUSBメモリなどを出先や移動中の社内に置き忘れてしまい、そこから情報が第三者の手に渡ってしまう。中には、車内に置いたノートパソコンが盗まれてしまう例もある。つまり紛失の多くは、情報を何らかの形で外部に持ち出したときに発生する。それに対して三つ目の「誤操作」は、主に電子メールの送信などで発生する漏えいだ。あて先を間違えたり、添付するファイルを間違えるなど、最近ではこの誤送信による情報の漏えいが増えている。幸いなことに、送った相手も内容も、事件になるほどの深刻なケースは多くはないが、電子メールが当たり前になっている現在では、今後も脅威は増していく。
　このように、情報漏えいには考えなければならない三つの問題があり、それぞれに対処方法が異なる。しかし、どのような漏えい経路であっても、情報を水際で守る方法はある。

情報を守る最後の砦が暗号化

　盗難か紛失か誤送信かに関わらず、意図しない第三者の手に渡ってしまった情報を最終的に保護する方法は、暗号化しかない。暗号化された情報は、その解除コードやパスワードを知らなければ、仮に犯罪者の手に渡ってしまったとしても、内容が閲覧されることがない。暗号化は、古くて新しい情報保護の技術だ。ITが発達する以前から、競合する相手に情報を閲覧されたくない場合に、さまざまな暗号化技術が用いられてきた。例えば、文字のマッピング表を送り手と受け手で共有しておいて、その表に基づく暗号を作成する。途中で密書などが盗み出されたとしても、マッピング表がなければ文書の意味は解読できない。マッピングの手法も、単純に文字をずらすだけのものから、複雑なコード表を作るものまで、過去には多様な仕組みが考え出された。IT技術では、主に擬似的な乱数を使って、元の情報が読み取れないようなデータの羅列にする。少し厳密さには欠けるが、イメージとしては未契約のWOWWOWなどの映像がスクランブルされて映されているような印象に近い。解除のための鍵やパスワードがなければ、正しい情報には復元できない。インターネットでは、 SSL（Secure Socket Layer）と呼ばれる暗号化された情報を送受信する仕組みが広く利用されている。これは暗号化や電子認証や鍵の仕組みを組み合わせたものである。事前にパスワードなどの共通情報を持っていないサーバとクライアント間で、暗号化した情報を交換するために、公開鍵と共通鍵という技術も用いている。だが、企業で暗号化を全社的に導入するためには、SSLのような方式は利用できない。個人が暗号を解除するためのパスワードや認証キーを厳密に管理する必要がある。

暗号化の導入は利便性がポイント

　大手企業であれば、すでに情報保護のための専任部隊を編成して、顧客情報から重要な企業情報まで暗号化を推進している。しかし、専任者のいない企業では、情報をどのように保護すればいいのか、まだ迷っているケースが多いのではないだろうか。ITは積極的に活用していきたいと考えていても、そこから作り出された情報が、漏えいの危機にあるとすれば、その利用も促進されない。むしろ、紙に書いて金庫に入れておいた方が、安全に守れると考えがちだ。
　実は、私たちが日ごろから利用しているWordやExcelといったOffice系ソフトには、以前から情報を保護するためのパスワード機能が装備されていた。保存するときのオプションで、読み取りや書き込み用のパスワードを設定できる。しかし、その設定が以前はわかりにくいところにあったので、あまり利用されてはいなかった。また、文書ごとに異なるパスワードを設定してしまうと、誰かが使うたびにそのパスワードを教える必要があり、運用も煩雑になることから、現場では利用が敬遠されがちだった。
　セキュリティ水準を明確にしている大手企業では、半ば強制的に暗号化とパスワードの運用を通達できるかもしれないが、現場の自主性や利便性を優先する場合には、作業が煩雑になるパスワードの設定は行われていない。また、仮に通達されていたとしても、やはり「うっかり」パスワードを設定し忘れてしまうケースも起きるだろう。結果として、暗号化を企業の規模に関係なく、全社員に徹底するためには、現場の利便性に配慮した技術の導入が不可欠といえるのだ。

理想的な暗号化を推進するための技術

暗号化を全社規模で確実に実施していくためには、かなりの部分を「自動化」する必要がある。ユーザーIDとパスワードの入力は必須だとしても、個々の文書ごとにいちいちパスワードを設定したり、設定しなければ暗号化されない、といった人手に頼る運用を開放する自動化技術が求められている。例えば、USBキーなどによるユーザー認証の自動化や、指紋に指静脈などの認証技術を組み合わせて、個人の特定を厳密にすると同時に、解除キーを入力する手間を軽減する技術は有効だ。また、個々のファイルごとに暗号化を実施するのではなく、ノートパソコンのハードディスク全体やサーバなど、より包括的な暗号化によって、システム全体を守る技術も効果的になる。さらに、Office系文書であれば、社内ネットワークのログインで利用されているユーザーIDや権限と連動して、作成した文書の自動的な暗号化と閲覧権限が設定できるようになれば、運用の利便性を損なわずに、適正なユーザーだけが閲覧できるようになる。この仕組みを導入すると、電子メールに添付して誤送信したとしても、送り先で閲覧される心配もなくなる。
　いずれにしても、暗号化による情報保護の導入に関しては、その運用方法を検討し、自動化と利便性が充分に確保されている技術を選択するべきなのだ。

田中亘氏
筆者のプロフィール／筆者は、IT業界で20年を超えるキャリアがあり、ライターになる前はソフトの企画・開発や販売の経験を持つ。現在はIT系の雑誌をはじめ、産業系の新聞などでも技術解説などを執筆している。得意とするジャンルは、PCを中心にネットワークや通信などIT全般に渡る。2004年以降、ITという枠を超えて、デジタル家電や携帯電話関連の執筆も増えてきた。

■情報漏えいの3大原因と防止のポイント

【コラム】「業務改革・改善のためのIT活用とは」

・第10回　サーバ選びを見直そう　【Vol.29】

・第9回　中堅企業に追い風となるERP導入のトレンド　【Vol.28】

・第8回　オープンソースシステムに求められる統合化の波　【Vol.27】

・第7回　セキュリティとコンプライアンスに向けた取り組みの第一歩とは　【Vol.26】

本紙の購読申込み・お問合せはこちらから