頻発する情報漏えい事件　その原因と対策（4：最終回）

　例えばこんな手はどうだろう？そのファイルのデータ（中身）、あるいはファイルの不可視属性として日付や時間帯の情報を埋め込むような仕掛けで補強する。もちろんファイルには日付や時刻の情報（作成日付、更新日付など）が入っているが、基本的にそれは改ざんが可能であり、誤魔化すこともできる。とすれば、別途改ざんや誤魔化すことが難しいような仕掛けで、日時情報を埋め込むことが望まれる。で、例えば個人情報であれば、日付時間別に個人情報を追加する、更新する仕掛けでもあれば良いのではないだろうか。2004年4月1日の13時に、定期実行の処理（スクリプトやバッチなど）で「東京都港区六本木4-1-13　園田道夫」などと入れておくのだ。数万件の中からこういうデータを探し出すこと事態難しいし、かなりの手間がかかるだろう。この種の仕掛けを数種類用意しておけば、わりと簡単にいつのデータなのかを割り出すことが可能だ。あとは、ファイルアクセスの記録を照らし合わせれば、持ち出した人の特定は格段にやりやすくなるはずだ。

　もちろん、予算があれば暗号キーを埋め込むような同等のソリューションを使ってもいいだろう。ダミーデータを埋め込むやり方がそぐわない場合には、暗号のソリューションによって機械的に時刻データなどを埋め込ませる。コピーの防御は何もしないと防げないし、コピー行為を完全に禁止することはできないので、何らかの仕掛けが必要だろう。

　重要なのはこうした仕掛けを入れること、それによって記録をきっちり取っていることをちゃんと宣伝する、ということである。結局のところ内部犯行というのは「誰も見ていない」という安心感があればこその話である。「誰も見ていない」からちょろっとファイルをコピーして名簿屋に持ち込んでしまうのであって、後から記録を調査するにしろ、リアルタイムで警告（アラーム）を出すにしろ、「誰かがちゃんと見ているらしい」という認識を持ってもらうと、そういう軽率な行為は減るのではないだろうか？

　アクセス制御が厳しくなかったとしても、記録をしっかりとって追跡できるようにしておけば、そしてそれを上手に宣伝できれば、心理的障壁は高くなるだろう。ビデオカメラが見えているところでは盗みははたらかないはずだ。
　宣伝方法もさまざまある。最も簡単で効果が上がるのが「見せしめ」効果だろう。

　コンテンツフィルタと呼ばれるソフトウェアを導入した場合でも、ただ導入しただけではなかなか継続的に効果が上がらない。導入当初はおそるおそる違反していたとしても、何もお咎めが無ければそのうち元通りになるはずだ。

　そこで、定期的にアクセスランクTOP10を発表してみる。アクセス元となるIPアドレスや氏名などは伏せておいて構わない。これは別にコンテンツフィルタ・ソフトウェアによるものでなくても、単純にproxyサーバのアクセスログを集積したデータでもいいだろう。コンテンツフィルタによってデータをフィルタする（遮断ではなく）ほうが、集積の手間は圧倒的にかからないが。

　一般的な傾向としては、特にルール化や事前アナウンスなどを行っていない場合には、ポルノサイトへのアクセスやスポーツニュースへのアクセスなどが上位を占めることが多い。まあ、スポーツニュース程度ならば昼休みとか定時後にちょこちょこ見ていることも考えられるので、あまりうるさく言っても仕様がないだろう。（スポーツや趣味のサイト、グルメ情報などへのアクセスを禁じるかどうか、というのは企業のカルチャーへのイメージに大きく関わるので、どうするのか良く考えたほうが良いと思う）それよりも見せしめ効果が高いのはポルノへのアクセスだ。

　なぜ見せしめ効果が高いのかといえば、ポルノへのアクセスは「恥ずかしいこと」だからだ。日本人は羞恥心が高い国民性を持つと言われているが、裏を返すと恥ずかしいと思う行為をやりたくてたまらないのだろうと思う。従って、セキュリティ対策としての心理的障壁と同様に、「誰も見ていない」ところで「ちょっとアクセスすれば簡単にポルノを閲覧できる」環境があれば、アクセスしたくなるわけだ。そして、ポルノへのアクセスなどは常態化すると大量の通信量になる。すると必然的にTOP10に入りやすい。

参考文献：
　内部情報漏洩に関するアンケート調査結果　その１(2004.4.7)
https://www.netsecurity.ne.jp/article/1/12744.html
　内部情報漏洩に関する調査結果（２）
　24％が漏洩事故　原因は人的ミスと管理不行き届き(2004.4.14)
https://www.netsecurity.ne.jp/article/1/12800.html
　内部情報漏洩に関する調査結果（３）
　URLフィルタリング導入意向は39%　課題は予算 37%(2004.4.21)
https://www.netsecurity.ne.jp/article/1/12856.html
　内部情報漏洩に関する調査結果（４）　アンケート結果から
　決め手のない内部情報漏洩　教育とツールによる両面作戦が当面の対策(2004.4.28)
https://www.netsecurity.ne.jp/article/1/12927.html

　また、「顧客情報漏洩事件ファイル」 http://shop.ns-research.jp/p-rjf01.shtml には個別ケースについての分析が掲載されている。このあたりも参照されたい。

【執筆：園田道夫】

（この記事には続きがあります。続きはScan本誌をご覧ください）
http://www.ns-research.jp/cgi-bin/ct/p.cgi?m-sc_netsec

◇参考：
　頻発する情報漏えい事件　その原因と対策【第1回】(2004.6.23)
https://www.netsecurity.ne.jp/article/3/13369.html
　頻発する情報漏えい事件　その原因と対策【第2回】(2004.6.30)
https://www.netsecurity.ne.jp/article/3/13451.html
　頻発する情報漏えい事件　その原因と対策【第3回】(2004.7.7)
https://www.netsecurity.ne.jp/article/3/13522.html