継続可能な情報漏えい対策

TotalFileGuardのユーザー事例

機密情報が流出した事件が後を絶ちません。情報漏えい対策をシンプルに実施するのは難しいのでしょうか。

今回は、情報漏えい対策ソフト「TotalFileGuard」（開発会社は米Secward Technologies、総販売代理店はピコテクノロジーズ）のユーザー事例を紹介します。

技術部門や営業部門で扱う仕様書や設計図などは、企業にとって重要な機密データです。ERPのような基幹システムにも、重要なデータが含まれています。重要な点は、これらのデータは互いに連携しているということです。断片的な対策にとどまらず、データのライフサイクルを考慮して、企業活動トータルで情報漏えい対策を施す必要があります。

今回取り上げるユーザーは、台湾の德鑫（トクキン）包裝科技（股）公司（DASE-SING PACKAGING TECHNOLOGY）です。特徴は、社外持ち出しデータを介した情報漏えいを防止する対策として、基幹システムを含めたデータのライフサイクルまで考慮した対策をとっている点です。

導入事例: トクキン包裝科技公司

企業概要

トクキン包裝科技公司は、熱収縮性製品の製造専門メーカーとして、1985年に台湾で設立した企業です。自動凸版輪転機を投入して全自動印刷や自動投射を実現しています。台湾における唯一の収縮性ラベルおよび自動ラベリング機の専業メーカーで、顧客としては、コカコーラやペプシ、ネスレのほか、台湾大手食品グループ統一企業である中国娃哈哈社などと取引実績があります。

導入の背景

中国における工作機械の製造事業は、労働力を安価に確保できるほか、包装用機械の生産も容易いため、競争が激化しています。コストよりも、長年のノウハウが勝敗を大きく左右する状況です。こうした中、トクキン包裝科技公司は、1999年の中国進出から5年間で、中国各地で数百台のラベルマシンを売りました。

競合企業は、トクキンの従業員に対してヘッド・ハンティングを行うようになりました。こうして、人材の出入りが激しくなりました。ノウハウを含む情報の漏えいリスクが高まり、同社の営業競争力が下がるという課題に直面しました。会社のコア・コンピタンスを保つため、情報漏えいの原因となる電子ファイルを保護することを決意しました。

以下では、トクキンがDLP（情報漏えい対策）製品を導入した経緯について、4つの導入フェーズに沿って解説します。

1. 課題の社内調査 → 電子ファイルのワークフローと応用シナリオの分析
2. 機密ファイルの洗い出し
3. DLP製品選定
4. TotalFileGuardの導入および効果

1. 電子ファイルのワークフローと応用シナリオの分析

トクキンは、ITセキュリティに早期から取り組み、主にネットワーク監視や利用規制（ポリシー）で管理してきました。しかし、実務上適さないケースが、多々発生していました。同社の技術チームは、電子ファイルのワークフローと応用シナリオを分析した結果、従来の電子ファイル保護では不十分な部分があることを確認しました。

電子ファイル保護管理の脆弱（ぜいじゃく）性

1. 見積依頼時には、複数の取引先に対して設計図データ（ファイル）を提供する。このため、設計図を「提供した後の流れ」が把握できない。
2. 出張先では顧客に提示する。このため、持ち出した設計図（ファイル）の利用をコントロールできない。
3. ファイル・サーバーに保存するファイルにはアクセス制限が付くが、あくまでも「サーバーに保存した」ファイルだけが保護対象となる。このため、社員個人のパソコンやほかの保存媒体（USBメモリーや持ち込みPCなど）に保存しファイルを管理できない。
4. 工作機械に投入する「制御用数値」や「オペレーション・パラメータ」ファイルには、企業ノウハウが蓄積されている。ところが、これらを扱う保守エンジニアがこれらのファイルをどう扱っているのかを把握できない。

2. 機密ファイルの洗い出し

トクキンの技術チームは、社内調査の結果に基づいて、機密ファイルの種類を洗い出しました。結果は、（1）PLC制御数値、（2）工作機械設計図、（3）ERPデータ、の3つでした。

1. PLC制御数値

   工作機械をコントロールするPLC（プログラマブル・ロジック・コントローラ）に含まれる制御数値は、技術の結集です。そのプログラム・ファイルは、極めて重要なものです。

   図2: 工作機械をコントロールするPLC（クリックで拡大）

2. 工作機械設計図

   顧客ニーズに対応するためには、企業のコア・コンピタンスである設計図（ファイル）の交流が必要です。営業と顧客との間で設計図をやり取りする際には、悪意、ミス、不注意（誤送信や誤配布など）による漏えいを避けることが重要です。

3. ERPデータ

   ERPには、会社運営に関連する数字だけでなく、企業戦略や方針に関する情報も含まれています。しかし、データが重要である一方で、組織ごとの権限に応じてERPデータを適切に管理することは、とても大変です。

   なぜなら、一定のファイル形式で存在しているPLC制御数値や工作機械設計図とは異なり、ERPのデータは、利用者の操作によって常に更新されているからです。さらに、利用者の立場によって、サーバーから取り出したデータの内容と形式は異なっており、管理すべきフォーマットが混在しています。

   図3: ERP（統合業務ソフト）で使うデータの流れ（クリックで拡大）