TOP情報セキュリティ> リスク管理ソリューションとは
米国事例に学ぶセキュリティ
米国事例に学ぶセキュリティ

第1回:これまでの情報漏洩事件の原因を振り返る

著者:バーダシス  小宮 崇博   2007/5/1
前のページ  1  2  3
リスク管理ソリューションとは

   情報漏洩を防ぐには、上記でも触れてきた「情報管理ポリシー」の策定と情報を操作する人間への「セキュリティ教育」が重要である。もちろんアクション制御により、例えばUSBメモリへの書き込みを禁止することは漏洩防止に重要であるが、ソフトな制御により管理ポリシーをユーザに徹底することがもっとも有効な漏洩防止手段である。

   このようにリスク管理ソリューションを利用することで、誰がいつどの情報にアクセスし何をしたかを管理することができる。したがって上記のISPの事例でも、誰がいつ情報を持ち出したのか調査できる。またWinnyの起動を禁止することで、事故による情報漏洩を防ぐこともできるだろう。印刷会社の事例でも、持ち出しを強制中断したり暗号化することで読めなくするといったことも実現可能である。

   これらを実現するためには、内部のリソースに自由にアクセスできるユーザからデータを保護する仕組みが必要である。こういったものを実現するには「リスク管理ソリューション」の導入が望ましいといわれている。そこでここではリスク管理ソリューション、「Verdasys Digital Guardian」を取り上げる。
Digital Guardianの
機能
特徴 メリット
情報管理ポリシベースのソフトなアクション制御 ユーザに対して、情報に対するアクション(読み書き、ネットワークへのアップロード、印刷、スクリーンキャプチャなど)の強制中断、理由報告要請、警告、通知が可能 業務への影響を最小にしつつ、情報漏洩対策が可能カスタマイズ可能なプロンプトにより、ユーザへの教育効果も期待可能
柔軟なポリシー設定 データ形式やメディアタイプ、ファイルのコンテンツなどをキーにポリシーの適用が可能 ユーザが管理ポリシの詳細を気にする必要なく、ポリシが自動適用される
データの暗号化 Digital Guardianが適切に設定された環境内(仮想境界線内)であればユーザには透過に暗号化、復号化がおこなわれる。また、すべてのデータが暗号化されるわけではないので、非常にスケーラブル ユーザは暗号化を気にすることなく、データを安全に取り扱うことが可能
レガシーアプリケーションのロギング メインフレームアプリケーションやWebベースアプリケーションのロギングが可能 再コーディングすることなしに情報漏洩対策を実現可能
簡単かつ分かりやすいレポート ログを収集するだけでなく、誰がいつ何を行ったのかをわかりやすく表示する機能(フォレンジックレポート)やサマリ表示機能などが豊富 ドリルダウンでフォレンジックデータにアクセス可能。自分でログを集計する必要なし
デジタル署名のついたログ すべてのログにデジタル署名がつくため、セキュリティ管理者であってもログの改竄ができない Digital Guardianのログをコンプライアンスレポートにすることが可能
エージェントの停止不可特製 管理者権限を持つ者でもDigital Guardianエージェントの停止をすることはできない 管理者権限を持つ者のアクセスも確実にログ可能

表4:Digital Guardianの代表的な機能とメリット

   「Verdasys Digital Guardian」では、ユーザに対して警告や理由要請報告プロンプトを使用する機能がある。この機能によって、強制的に情報書き出しを中断することなしに、情報漏洩に結びつくような行為を90%以上削減できているそうだ。

Digital Guardianの動き
図3:Digital Guardianの動き
(画像をクリックすると別ウィンドウに拡大図を表示します)

重要情報の漏洩防止
企業内部で管理する顧客資産、知的財産、個人情報などの外部への漏洩を未然に防止
情報持ち出し管理
外注への情報提供や顧客での作業など、重要情報を社外に持ち出す際のセキュリティ
法規制への対応
日本版SOX法、個人情報保護法、金融庁勧告など向けの公式なログ証跡報告への対応
情報ポリシー管理
外注も含めた全従業員への情報管理ポリシーの教育は最重要

表6:情報管理にある4つの課題

   今回は情報漏洩の問題と対策に関しての説明で終わってしまった。次回より、実際に米国の情報セキュリティに対する取り組みを事例と共に情報管理ポリシーの考え方などについて触れていく。

前のページ  1  2  3


Verdasys Inc. 小宮 崇博
著者プロフィール
Verdasys Inc.  小宮 崇博
外資ITベンダーにおいて一貫してプリセールスに携わる。サーバ、ストレージ、ネットワーク製品などの営業に従事する。また、統合運用管理ソフトウェアなどのソフトウェアの営業、構築にも従事していた。ストレージエリアネットワークなどのコミュニティでは多くの情報をコミュニティに提供している。


INDEX
第1回:これまでの情報漏洩事件の原因を振り返る
  情報漏洩問題を振り返る
  なぜ、情報漏洩は止まらないのか
リスク管理ソリューションとは