RPA（Robotic Process Automation）とは、ソフトウェア型のロボットが定型的な端末操作を人の代わりに担ってくれる技術である。定型業務が自動で遂行されることで業務効率化や人手不足の解消などにつながるため、幅広い業種で活用が進んでいる。

業務効率化に大きく貢献するRPAだが、運用の仕方によっては重大なセキュリティ事故を引き起こす恐れがある。まずは、企業が注意すべき代表的なリスクを見ていこう。

不適切なアクセスの発生

RPAは、人が担ってきた操作をロボットが代行する。しかし、RPAに過剰な権限を与えてしまった結果、意図せず重要なデータにアクセスされて情報漏洩が発生する可能性が否定できない。

また、RPAがサイバー攻撃を受けた結果、ユーザーではなく悪意ある第三者がRPAに指示を出し、悪用されることもあり得る。さらに、ユーザーがRPAを誤って操作した結果、個人情報の流出など想定外のトラブルが発生しかねない。

想定していない動作

RPAが想定していない動作を起こすと、それが原因でセキュリティインシデントが発生する恐れがある。例えば、RPAへの指示に誤りがあると、間違った送信先に機密情報が送付されて信用問題につながりかねない。また、指示が適切であってもロボットの誤操作が起こると想定外の挙動が発生しうる。

さらに、業務の自動化によって詳細な業務内容がブラックボックス化することや、社内で認知されていない「野良ロボット」の存在もセキュリティリスクになりかねない。これらは社内で把握されていないため、トラブルが発生しても原因の特定が困難である。

シナリオどおりにしか稼働できない

RPAは、あらかじめ設定されたシナリオどおりにしか稼働できない。そのため、多くの人がすぐ気付くと思われる変化やミスがあっても対応できず、間違った指示のまま稼働してしまう。

また、アプリケーション仕様や業務フロー、利用デバイスの変更が原因で現行のシナリオが不適切になった場合でも、あくまでも現行のシナリオが優先されるためにシナリオが正しく進まず、異常停止など不適切な動作が発生しかねない。これもセキュリティリスクの一因である。

RPAのトラブルは、ロボットそのものの不具合だけでなく、人間側の設定や運用環境に起因することが多い。リスクを引き起こす主な要因について、二つの側面から解説する。

シナリオの組み立て方が現状に即していない

RPAは原則的に事前作成されたシナリオどおりにしか動作しないため、人のようにその時々の状況に臨機応変な対応はできない。そのため、連携サイトの仕様や業務ルールが変更されても、指示を出し直さなければ、現状に即さないフローのまま動作を行う。

また、開発担当者の指示内容が属人化していると、設計書やマニュアルを残さないまま異動・退職した場合、残ったメンバーではトラブルが発生した際に対応できない。

システムやデバイスが適切ではない

RPAは複数のシステムやサイトをまたいで操作することも多いが、連携先でシステム仕様の変更が発生すると、それが原因でエラーが起こりやすい。

また、シナリオ作成時に想定したPC機種やWi-Fi環境などが実際と異なる場合は処理速度や表示に差が生じるため、想定どおりに動作しないケースもある。このような利用環境の違いも、RPAがセキュリティリスクを引き起こす要因である。

RPAのセキュリティリスクを防ぎ、安全に自動化を推進するには適切な管理体制とルール作りが不可欠だ。現場で講じるべき具体的な対策を三つのポイントに分けて解説する。

十分な管理体制

まずは、管理者がロボットや稼働状況を把握できるよう、十分な管理体制を整えることが欠かせない。RPAの開発者や利用者を一元管理することで、RPAの誤作動や野良ロボット化を防げるうえ、万一トラブルが発生しても速やかに認知・対応できる。

また、ロボットに与える権限を必要最小限にとどめることやID・パスワードの暗号化も、不正アクセスや情報漏洩のリスクを抑えるために有効である。

継続的な現状把握

RPAの操作ログ・アクセスログ・実行ログを残すことで、不正利用や誤作動が発生しても原因を早期に特定できる。また、デバイスやシステムを定期メンテナンスしておくことで最新の状態を保つことができ、セキュリティホールをなくしてサイバー攻撃への備えにつながる。

運用ルールの明文化

RPAが担っている業務内容や操作内容、設定方法や運用ルールなどを文書として残すことで、業務のブラックボックス化を防げる。そうすれば、不適切な操作を行ってしまうリスクを減らし、セキュリティインシデントの発生防止が可能である。人事異動が多い企業では、業務の引き継ぎが行いやすい点もメリットである。また、エラーやトラブル発生時の対応手順や責任者を事前に決めておくことで、トラブルが発生してもすぐに対応できる。

人の代わりにソフトウェア型のロボットが定型的な端末操作を担ってくれるRPAは、業務効率化に効果を発揮する半面、不適切なアクセスや想定していない動作などが原因で、情報漏洩や不正アクセスなどのセキュリティインシデントを起こすこともある。シナリオの組み立て方やシステム・デバイスが現状に合っていないことが大きな要因であるが、継続的な現状把握や運用ルールの明文化などでセキュリティリスクを防げる。

自社のクライアントには、RPAをより安全に使いこなすため、RPAのセキュリティ対策について見直すことを提案してみるのもよいだろう。