Box Japanは3月12日、情報処理推進機構（IPA）が1月に発表した「情報セキュリティ10大脅威 2024」の解説と、自社ソリューションのセキュリティ機能を解説した。
Box Japan ソリューションエンジニアリング本部 ソリューションエンジニアの結城亮史氏は、「『Box』単体でも十分なセキュリティ機能を用意しているが、（他社製品と連携する）エコソリューションと合わせて使用すると組織全体のセキュリティレベルを向上できる」とセキュリティ対策の見直しを促した。
Box Japan ソリューションエンジニアリング本部 ソリューションエンジニア 結城氏
情報セキュリティ10大脅威2024の組織向け脅威は、昨年と同様に1位が「ランサムウェアによる被害」、2位が「サプライチェーンの弱点を悪用した攻撃」だった。一方、3位は「内部不正による情報漏えいなどの被害」となり、昨年の4位から押し上げられた。
東京商工リサーチが1月に発表した情報によれば、不正持ち出し・盗難による情報漏えい件数は2022年の5件から24件（2023年）と約5倍に増加。結城氏は「持ち出した顧客情報を名簿業者に販売する事例や、前の職場で保有する名刺情報を転職先に提供、あるいは元従業員による情報管理システムから持ち出すケースが増加してランキングを押し上げている」と分析し、コンテンツが標的となる脅威が上位3位を占めていることに注目した。
Boxが用意する「Box Shield」は、社内機密レベルなどを付与した分類に応じて外部共有を制限するアクセス制御、アクセスポリシーに基づいた共有の可否やダウンロード操作を制御する「スマートアクセス」で、社内外のユーザー操作ミスや悪意のある操作を予防する。また、ユーザーの異常もしくは不審な行動を検知してアラートを発する。「例えば転職を決めた従業員が大量ダウンロードを試みると、機械学習（ML）で検知と通知を行う」と結城氏は説明する。
サプライチェーン対策は認証基盤との接続やシングルサインオン（SSO）でなりすまし対策を講じることが有効ながらも、システムの状況によって選択できない場合がある。その際は、Boxが標準で備える多要素認証（MFA）を用いるとよいという。ランサムウェア対策もBoxへアップロードされるファイルをパターンマッチングとMLの両面から検査し、ランサムウェアの感染拡大を防ぐ。
万が一ファイルが暗号化された場合も、バージョン履歴から一世代前のファイルを復元できる。ただし、バージョン履歴に保存可能な世代数は契約したエディションで異なり、「Businessプラン」は50世代だが、「Enterpriseプラン」は100世代までさかのぼれる。なお、一部のセキュリティ対策機能を利用するには、「Enterprise Plusプラン」の契約が必要だという。
Boxはセキュリティ機能にも注力している。今後、Box Shield向けには、異常操作を検知してランサムウェア被害を防止し、被害に遭ったファイルを復元する「ランサムウェアプロテクション」や、「CrowdStrike Falcon Zero Trust Assessment」のデバイスリスクシグナルを用いて、安全性の低いデバイスからアクセスを遮断する機能を実装する予定だとしている。
現行でセキュリティ対策を強化するにはエコソリューションを選択肢に含めるとよいという。「HENNGE Secure Download for Box」は、ファイルをメールに添付すると、Boxで送信ユーザーごとにフォルダーを作成し、受信者には共有URLが記載されたPDFの送付やパスワードの自動発行・送付も行える。近年はセキュリティリスクに数えられるパスワード付きZIPファイルの送付問題を課題とする組織に有益だ。クラウドセキュリティサービスの「HENNGE One」とBoxを連携させれば、SSO連携やアクセス制御も行えるという。
BoxとHENNGEのエコソリューション
Eugridは、コンテンツに対してもゼロトラストを適用する「データ・ゼロトラスト」概念を適用した「TrueOffice」との連携ソリューションを用意する。データ・ゼロトラストは、PCを保存先として信用できないデバイスと見なし、コンテナー技術を用いたストレージ領域に一時保存。その内容をBoxなどの外部ストレージへ出力する。つまりローカルは一時的なキャッシュ、本来のコンテンツは外部ストレージに格納させる仕組みだ。データ保護と活用を課題視する組織向けソリューションになる。
BoxとEugridのエコソリューション
