「情報セキュリティ」の解説

情報セキュリティの概念

企業では、顧客の個人情報や契約上の機密といった、各種の重要な情報を共有・管理しています。これらの情報は、企業にとっては大切な資産（情報資産）であり、顧客にとっても、不用意に公開されては困る重要な情報です。これらの情報が外部へ流出した場合のリスクは甚大です。企業は企業イメージの低下をはじめ、大きな不利益を被ることは免れません。のみならず、その情報が悪意ある第三者へ渡った場合、犯罪に発展することも考えられます。情報に対する危機管理は常に重要事項として捉えられる必要があります。

情報資産

企業における情報資産には、データそのものだけでなく、コンピュータなどの機器類も含まれます。例えば、顧客情報が保存されているノートPCが盗難されれば、大きなリスクとなります。また、USBフラッシュメモリのような小さな機器類に機密情報を保存して持ち歩けば、置き忘れや紛失などのリスクが高まります。情報資産は、データベースやクライアントコンピュータの内部に収められている各種データを指す「無形資産」と、上記の機器類に代表される「有形資産」とに分類されます。

無形資産の種類

• 顧客情報
  • 顧客情報の中には得意先の住所や担当者の個人情報の他、支払い金額などの資産に関わる情報なども記述されています。

• 営業情報
  • 営業担当者による得意先の分析や、担当者の情報、販売実績等の資産に関わる情報も記述されています。

• 知的財産権情報
  • 新製品の開発情報や、設計図など、知的財産所有権に関わる情報が記述されています。

• 社員情報
  • 社員の個人情報や家族構成、所得などの情報が記述されています。

• 個人情報
  • 小売り業などでは、個人顧客の個人情報をはじめ、クレジットカード番号や銀行口座番号などが記述されています。

代表的な有形資産

• コンピュータ
  • ノートPC、デスクトップPC、サーバ類等のハードウェア機器には無形資産のデータが記録されています。本体だけでなくハードディスクやフラッシュメモリなどの補助記憶装置類も該当します。

• 印刷データ
  • データを印刷した紙類にも無形資産の情報が印字されているケースがあります。破棄する機会が多く、盗まれやすい媒体と言えます。

• ソフトウェア
  • ソフトウェアのライセンスキーや、ソフトウェアそのものは無形資産となります。

• 人的知識
  • 開発者のアイデアや、ベテラン営業職員の知識には資産価値のある情報が詰め込まれています。

脅威と脆弱性

企業が活用しているシステムの多くは、インターネットやイントラネットで外部ネットワークに接続されています。これらは利用者がいつでもシステムを活用し、業務の効率化を図れるというメリットがあります。他面、外部ネットワークを経由して、システムに侵入されたり、コンピュータウィルスやマルウェアなどに感染することにより、情報を外部に流出させられたりするリスクもあります。

リスクとなり得る脅威の種類や手法を理解し、また、セキュリティ事故を発生しやすくする要因になりやすい「脆弱性」に対して正しい処置を取る必要があります。

人的脅威の種類と特徴

人間が起こしやすいミスや誤認などの心理的な隙につけこんで情報を取得しようとする行為を「ソーシャルエンジニアリング」と呼びます。これらは人的脅威と言えるでしょう。

• 漏洩
  • メールに間違った添付ファイルをつけた、送信先を間違った、公開するはずではない情報を公開用サーバーに保存してしまった、･･･といった、過失によって意図せぬ情報が外部に流出する場合があります。

• 紛失・盗難
  • データが記録されているノートPCやUSBフラッシュメモリなどは、うっかり忘れて紛失したり、盗難に遭ったりする可能性があります。

• 破損・誤操作
  • 何らかの理由により、データが記録されているコンピュータや補助記憶装置を破損したり、誤操作によってデータの消去などが実行されてしまい、重要なデータの復旧ができなくなることが考えられます。

• なりすまし
  • 顧客や会社内の人間になりすまして、企業秘密をはじめあらゆる情報を引き出そうとする手法もあります。上司のふりをして社員のIDとパスワードを聞き出し、それを用いてシステム内に侵入、情報を悪用するような場合が考えられます。

• クラッキング
  • システムの脆弱性を突き、システム内部に不正侵入します。システムの侵入を許してしまうと、情報の漏洩・破壊など様々なリスクが生じます。

技術的脅威の種類と特徴

Webサーバやメールサーバなどを経由して外部からシステム内部に侵入されたり、悪意あるプログラムが埋め込まれたりするリスクがあります。人的脅威に対して、これらは技術的脅威と呼べるでしょう。

• マルウェア
  • 悪意を持って利用されるプログラムを総称して「マルウェア」と呼びます。
  • 具体的には、利用者が知らない間にコンピュータ内に侵入し破壊工作をしたり、他のコンピュータへ増殖を試みる「コンピュータウィルス」、コンピュータを第三者が操作して破壊工作や情報の盗み出しなどを試みる「ボット」、感染したコンピュータの情報をインターネットなどにアップロードしようとする「スパイウェア」などを挙げることができます。

• フィッシング詐欺
  • 「フィッシング詐欺」はインターネット詐欺の一種で、大手ショッピングサイトや金融機関の公式サイトといったWebサイトに偽装して利用者をだまし、クレジットカード番号や個人情報を入力させるタイプの詐欺手法です。

• クロスサイトスクリプティング
  • 「クロスサイトスクリプティング（XSS）」は、Webサイト上のバナー広告やCGIなどのプログラムの脆弱性につけこみ、悪意あるプログラムを埋め込む手法です。クロスサイトスクリプティングが仕掛けられたWebページにアクセスしてしまうだけで、悪意あるプロ恨むが読み込まれてしまう危険があります。

• DoS攻撃
  • 「DoS攻撃（Denial of Service attack）」は、特定のWebサーバに対して過大なリクエストを投げかけ、システムに許容範囲を超えた負荷をかけて、物理的に機能停止にしたり応答不能にしたりさせる手法です。大量のデータを送信したり、同時に多数のコンピュータからアクセスしたりといった手法をとります。

• セキュリティホール
  • ソフトウェアが潜在的に持っているセキュリティ上の脆弱性を（穴に見立てて）「セキュリティホール」と呼びます。ソフトウェア自体にはそもそも悪意がなく、多くの利用者を持つ点がリスクとなり得ます。セキュリティホールが発見された場合、制作者はすみやかに修正プログラムを開発し、各利用者は修正プログラムを追加インストールする必要があります。

• ファイル交換ソフト
  • インターネットを通じて、外部の複数のコンピュータと相互通信を行いながらファイルを交換するソフトウェアを「ファイル交換ソフト」と呼びます。ファイル交換ソフトの多くは、中央のサーバを立てず、インターネットを通じて利用者のコンピュータシステム同士を接続する「ピアツーピア（P2P）」技術を採用しています。
    
    

利用者は、ファイル共有のための、公開しても支障のないファイルのみをファイル交換ソフトに登録します。しかし、設定ミスやコンピュータウィルスなどによって、意図しない範囲のファイルが公開ファイルに登録されると、情報漏洩が起こります。ファイル交換ソフトウェアを狙ってランダムな情報のアップロードを引き起こすコンピュータウィルスも登場しています。

ファイル交換ソフトでの流出

物理的脅威の種類と特徴

物理的な脅威としては以下のようなものがあります。

• 災害
  • 地震などの自然災害や落雷・火災など、物理的な災害はシステムにとっても脅威となり得ます。
  • この種のリスクへの対策としては、ディザスタ・リカバリと呼ばれる概念が知られています。データセンターを遠隔地に分散して置き、システムの全滅を防いだり、システム内部のデータを常にバックアップしながら運用することで迅速な復旧を図ったりします。

• 破壊・妨害行為
  • 第三者の手によって、システムに物理的なダメージが加えられ、業務妨害が行われるケースも考えられます。