編集部からのお知らせ
記事PDF集:官民意識のゼロトラスト
電子インボイスの記事まとめ
座談会@ZDNet

「われわれはあなたの活動を監視しています」--悪意の権限者への対応:セキュリティベンダー座談会(4) - (page 2)

怒賀新也 (編集部) 山田竜司 (編集部) 吉澤亨史

2015-11-27 07:30

 分かりやすい例に、インターネットの不正送金がありますが、システム上は健全なトランザクションが流れているだけです。それが、本人が意図したトランザクションなのか、そうではないトランザクションなのかという違いです。ユーザーIDとパスワードも正しい。送金の設定も正しい。だから銀行からみると正常なトランザクションが流れただけです。

 でも本人ではなかった。本人の意図したものではなかった。この2つを見極めるのは非常に難しくて、例外(アノマリー)を分析することなどが1つのポイントになるかもしれません。例えば、今まで一度もこの送金先にこの金額を送金してないなどを軸とするわけです。結局システム上は正常ですから、そこから悪意を見つけなくてはならない。システムとしてそれを解決するとしたら、そういうものが方法になると思います。

村田氏 ヒューマンエラーの場合は、なぜ起きるのか会社が原因をちゃんと調べて起きないようにする。例えばシステムを壊してしまうようなヒューマンエラーは根絶できると思います。しかし、悪意のある権限者となると、もともと悪意があるか、あるいは職務を遂行しているうちに悪意が芽生えてしまうなど、さまざまです。例えば米国では、会社に入る際に徹底的に身元を調べられます。日本では一部外資系の会社で実施している程度ですが、従業員にどう向き合うかが課題になると思います。


ブルーコートシステムズ エンタープライズ・ソリューションズ・アーキテクト 村田敏一氏
特に危機管理が重要な金融機関や、製造業・官公庁などを中心とした顧客企業・組織をサイバー攻 撃の脅威から守るための対策やソリューションを提案している

染谷氏 ベネッセの場合も、もともとは悪意のある人ではなかった。結局、悪意のある権限者という表現をされていますが、世の中で今起きているベネッセ以外のいろいろな内部犯行の事例、国内外で起きているものを見ても、共通項があります。それは「明確な動機がある」ということ――例えばベネッセのケースでは、個人的に借金やトラブルを抱えていました。

 それから、これは2014年に米国で起きた事例なのですが、とある会社で契約社員で働いていた方が、正社員として雇ってもらいたいのに雇ってもらえない、空きがないということで断られていました。そして契約満了となって「長い間、ご苦労様でした」という話になったとたんに、その腹いせにバックドアをシステムに仕掛けて情報を抜き取ろうとしました。

 また、2014年に国内で発生した内部犯行の事例では、今後自分で外部の人間と新しくビジネスを立ち上げるという目的で、情報を盗み取ってそれを活用しようとしました。

 そのために、わざわざデータベースにアクセス権限があることを利用して大量の個人情報を盗んでいただけでなく、今後のビジネスに活用したいからと、わざわざその会社のメールサーバの設定を書き換えて、経営陣に送られてくるメールをすべて自分に転送されるようにしていたという、凶悪な事例がありました。

 やはり、悪意のある権限者という表現をされていますが、組織の中に必ず内部犯行候補者が実はいるという前提が必要になってくるということです。不平不満を抱えている従業員がいないか、あるいは個人的にトラブルを抱えている人はいないか、常に怪しい動きをしているような人はいないか。

 そのあたりを単純にIT部門だけが機械的に内部犯行への対策をすればいいのではなく、例えば人事・総務部門、あるいは各部門の部門長などと連携して、組織全体としていかに内部犯行の脅威、リスクをつぶしていくか、あるいは立ち向かっていくかという姿勢が、内部犯行に関してはものすごく大事です。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

特集

CIO

モバイル

セキュリティ

スペシャル

ホワイトペーパー

新着

ランキング

  1. 経営

    5分でわかる、レポート作成の心得!成果至上主義のせっかちな上司も納得のレポートとは

  2. 経営

    ノートPCは従来ながらの選び方ではダメ!新しい働き方にも対応する失敗しない選び方を徹底解説

  3. 経営

    問題だらけの現場指導を効率化!「人によって教え方が違う」を解消するためのマニュアル整備

  4. ビジネスアプリケーション

    緊急事態宣言解除後の利用率は低下 調査結果に見る「テレワーク」定着を阻む課題とその対応策

  5. ビジネスアプリケーション

    たしか、あのデータは、こっちのアプリにあったはず…--業務改善のためのアプリ導入がストレスの原因に?

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]