海外における個人情報流出事件とその対応第180回職員がネットワーク改ざん、アクセス不能 (2)IT部門がある企業であれば起こりうる事件

●珍しくない、システム管理者による攻撃

　チャイルズが本当に正当な意図があったかは別として、事件は組織が直面する内部関係者によるシステムへのリスクに注目を集めることとなった。内部関係者によるうっかりミスによる情報漏えい、あるいは悪意ある攻撃などは、組織にとって大きな問題であるとして、これまでにも何度か警告されてきたものだ。

　8月11日付け『Washington Post』では、カーネギーメロン大学ソフトウエア工学研究所のドーン・キャペリによる、「内部関係者の"妨害工作"の被害を受けるリスクについて、本当には理解されていないようだ」とのコメントを紹介している。キャぺリはコンピュータ緊急事態対策チーム CERTの内部関係者の脅威に関するスペシャリストだ。"妨害工作"というのは、CERTが、特に内部関係者による攻撃について、使用している言葉だ。

　ペンシルバニア州の私立大学、カーネギーメロン大学のソフトウエア工学研究所は、米国防総省が資金を提供し、スポンサーを行う研究開発機関だ。コンピュータセキュリティの組織、CERTの統括本部でもあるCERTコーディネーション・センターがある。CERTはネットワークシステムへの攻撃に対抗する適切な技術およびシステム管理を目指すためのものだ。

　「IT部門があるなら（同様の事件は）起こりうる」とキャぺリは警告する。外部からの攻撃に対して、しっかり準備をしている組織は多いが、残念ながら内部からの脅威に弱いのが実情らしい。

　少し前になるが、2007年2月にCERTが「企業のシステムに対して"妨害工作"を行う従業員は、ほとんどの場合ITスタッフである」という研究結果を発表している。これは国防省と合同で様々な重要産業について内部関係者によるサイバー犯罪を分析した結果だ。

　調査によると、サイバー犯罪を行った内部関係者の86%は技術部門に属し、特にシステムアドミニストレータかシステムアクセスの特権を有していたスタッフが9割を占めた。そしてITシステムの妨害工作を行った41%と約半数は、犯行時点では雇用されていた。

　ただし、問題行動を起こしそうな職員を見つけるのは簡単なはずだという。経済的な問題がある従業員もいるが、不満や恨みを組織に持っている、パラノイア気味、遅刻常習犯、同僚とよく口論するようなスタッフであることが多い。またレイオフ通告を受けた従業員も要注意だ。

　チャイルズのケースでは、裁判中の事件なので真相はまだわからないが、市側の主張では、パラノイア気味だったと考えていいだろう。すなわち、チャイルズは要注意人物とみなされていたようだ。市側はなんらかの対策を予め採ることはできなかったのかと非難されても仕方がないのかもしれない。

　『Washington Post』紙の記事では、チャイルズは、以前は数人いたアドミニストレータの1人に過ぎなかったようだ。しかし、スタッフがほかのプロジェクトを担当することになったため、管理範囲が拡大した。その状況には6月に行われた監査で、初めて市側が認識したというから、多忙なことからIT部門の管理が不十分だったようだ。

●払うべき注意を払って自衛

　セキュリティ管理のベンダー、Cyber-Arkのカラム・マクリードは、多くの組織が"払うべき注意"を払っていない、またシステムやアプリケーションを行っている担当者に注意をしていないことを、内部関係者からの攻撃を受けやすい要因として挙げている。そして、パスワード管理の重要性を説く。

　カーネギーメロン大学CERTも4月に開催されたRSAセキュリティ会議で、組織に対して様々なアドバイスを行った。コードの暗号化、コード変更やアクセスコントロールの実施、従業員のオンライン上での動きの記録、管理、検査、そしてシステム管理者など、プロジェクトに関係のないスタッフのアクセスを不可能にするなどだ。また、コード変更などについては、自動的にプログラミングすることが重要だ。

そのほか、次のことを勧めている。
・企業全体でのリスクアセスメント
・全従業員に対する、定期的なセキュリティ意識向上トレーニング
・最低限に抑制した特権と業務を区別すること
・パスワードとアカウント管理規定の作成およびその実施
・ウイルスなど悪意あるコードに対しての防御を固める
・リモートからの攻撃に対して、数層の防御を利用
・疑いがある言動や秩序を乱すような態度の監視としっかりした対応
・従業員を解雇した場合などは、対象となったスタッフのシステムへのアクセスを停止・調査用のデータ収集と保管
・セキュアなバックアップとリカバリープロセスの構築
・内部関係者の脅威管理についての明確な文書作成

　特にシステム管理者や、何らかの特権を受けている…

【執筆：バンクーバー新報西川桂子】
──
※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内
http://www.ns-research.jp/cgi-bin/ct/p.cgi?m-sc_netsec