🔰ベネッセ大規模個人情報漏えい――ハッカーより怖い「正規の権限」をどう管理するか🔯ミカと教授のサイバーセキュリテイ🖥️第15回

【内部不正と権限管理――「敵はいつもインターネットの向こう側にいるとは限らない」】

ミカ「教授、今日はハッカーがどこから入ってくるのですか」
教授「入ってこない」
ミカ「またですか」
教授「最初から中にいる」
ミカ「社員ですか？」
教授「社員、元社員、委託先、システム管理者などだ」
ミカ「でも、その人たちは正式なIDとパスワードを持っています」
教授「だから難しい。外部攻撃なら『入らせない』を考える。内部不正では、入ってよい人が、してはいけないことをする」
ミカ「警備員自身が金庫を開けたら、玄関の鍵では止められませんね」
教授「今日はその『正規の鍵』をどう管理するかを考えよう」

【内部不正とは何か】

ミカ「内部不正とは、社員が顧客情報を盗むことですか」
教授「代表例だが、それだけではない」
ミカ「ほかには？」
教授「営業秘密の持ち出し、人事情報の不正閲覧、ソースコードのコピー、データ削除、管理者権限の悪用などがある」
ミカ「外部ハッカーとの違いは？」
教授「もともと何らかの正規権限を持っていることだ」
ミカ「ログイン成功と表示されても安心できない」
教授「そうだ。内部不正対策では、ログインした後に何をしたかを見る必要がある」

【具体的方法①　正規権限で大量データを取得する】

ミカ「具体的には、どうやって情報を持ち出すのですか」
教授「例えば営業担当者がCRMへ正規ログインする」
ミカ「普通ですね」
教授「普段は担当顧客20件を見る。しかし退職前日に数千件、数万件の情報を取得する」
ミカ「IDも本人のもの」
教授「パスワードも本人のもの」
ミカ「では不正ログイン検知では見つからない」
教授「だから、アクセス件数や操作量の異常を見る」
ミカ「普段20件の人が突然2万件なら？」
教授「確認すべきだろう」
ミカ「『ログインできた人＝安全な人』ではない」
教授「認証は入口の確認であって、行動の保証ではない」

【具体的方法②　USBメモリへコピーする】

ミカ「取得したデータはどう持ち出しますか」
教授「古典的なのはUSBメモリや外付けストレージだ」
ミカ「コピーして持って帰る」
教授「そうだ」
ミカ「USBを全部禁止すれば？」
教授「業務上必要な会社もある。そこで会社が許可した媒体だけ使えるようにしたり、書き込みを制御したり、利用記録を残したりする」
ミカ「USBそのものではなく、使い方を管理する」
教授「そういうことだ」

【具体的方法③　個人メールやクラウドへ送る】

ミカ「USBを禁止したら安心ですね」
教授「個人メールがある」
ミカ「なるほど」
教授「個人用クラウドストレージもある」
ミカ「自分のクラウドへアップロードする」
教授「チャットサービスへ転送する方法もある」
ミカ「出口が多いですね」
教授「だからUSBだけ塞いでも足りない」
ミカ「本人に悪意がなく、『家で続きをやるため』という場合もありそうです」
教授「そこも重要だ。便利だからという理由の持ち出しも情報漏えいにつながる」
ミカ「善意でも事故は起きる」
教授「セキュリティは悪人だけを相手にするものではない」

【具体的方法④　画面を撮影する】

ミカ「メールもUSBもクラウドも禁止しました」
教授「ではスマートフォンを出そう」
ミカ「画面を撮影する？」
教授「そうだ」
ミカ「システム上はコピー記録が残りません」
教授「紙へ印刷して持ち出す方法もある」
ミカ「全部デジタルで止めることは難しいですね」
教授「だから技術対策だけでなく、物理的な管理、社内ルール、教育も必要になる」

【具体的方法⑤　ソースコードや営業秘密を持ち出す】

ミカ「顧客名簿以外には何が狙われますか」
教授「ソースコード、設計図、価格表、仕入条件、研究データ、営業リスト、事業計画などだ」
ミカ「転職先で使えそうな情報ですね」
教授「だから退職時だけでなく、異動や委託終了も重要なタイミングになる」
ミカ「退職予定者を疑う？」
教授「違う。人を疑うのではなく、権限を管理する」
ミカ「誰であっても同じルール」
教授「そのほうが公平だ」

【具体的方法⑥　異動前の権限を使う】

ミカ「権限管理では何が起きやすいですか」
教授「典型的なのが権限の積み上がりだ」
ミカ「何ですか、それは」
教授「営業部時代に顧客情報を見る権限をもらう」
ミカ「はい」
教授「経理部へ異動して会計システムの権限を追加する」
ミカ「営業部の権限は？」
教授「誰も消さない」
ミカ「さらに人事部へ異動」
教授「給与情報の権限も追加」
ミカ「最終的に会社のほとんどが見える人が完成しました」
教授「人事異動だけでスーパー管理者が育つ」
ミカ「会社が知らないうちにレベル99ですね」
教授「異動時は追加と同時に削除を行う必要がある」

【具体的方法⑦　共有IDを利用する】

ミカ「部署全員で同じIDを使っている会社もあります」
教授「内部不正対策では困る」
ミカ「なぜ？」
教授「ログに『adminが顧客情報を取得した』と残っても、誰なのか分からない」
ミカ「5人で共有していたら？」
教授「5人全員が『私ではありません』と言える」
ミカ「犯人には便利ですね」
教授「だから原則として一人一IDだ」
ミカ「誰が何をしたか追跡できるようにする」
教授「特に管理者権限では重要だ」

【日本企業の実例――ベネッセ個人情報漏えい事件】

ミカ「日本企業の代表的な実例は？」
教授「2014年のベネッセ個人情報漏えい事件だ」
ミカ「かなり大きな事件でしたね」
教授「ベネッセ側の調査では、データベースの開発・保守に関係していた再委託先企業の元社員が関与したとされた」
ミカ「外部ハッカーがシステムへ侵入したのではない？」
教授「そこが重要だ。その人物には業務上、対象データベースへアクセスするための正規権限があった」
ミカ「つまり鍵を壊していない」
教授「正規の鍵を持っていた」
ミカ「だからファイアウォールでは防げない」
教授「そうだ。問題になるのは、必要以上のデータへアクセスできなかったか、大量取得を検知できなかったか、外部への持ち出しを制御できなかったか、という点だ」

【約2,000万件規模が示した権限の怖さ】

ミカ「規模はどのくらいだったのですか」
教授「当初、漏えいした可能性のある顧客情報は約2,070万件と公表された」
ミカ「一人の権限から、それほど大きな問題につながる」
教授「だから『この人を信用できるか』だけで考えてはいけない」
ミカ「一人が2,000万件を見る必要があるのか？」
教授「そこから考える」
ミカ「開発担当でも本番データ全部が必要とは限らない」
教授「テスト用データ、匿名化、アクセス範囲の限定などを検討する」
ミカ「これが最小権限」
教授「そうだ」

【防御策①　最小権限】

ミカ「では具体的な防御策です」
教授「第一は最小権限の原則だ」
ミカ「このシリーズの常連ですね」
教授「もはや共同司会者だ」
ミカ「具体的には？」
教授「営業担当なら必要な顧客だけ。給与担当なら給与業務に必要な情報だけ。委託先なら対象システムだけ」
ミカ「管理者権限は？」
教授「通常業務では一般アカウントを使い、必要なときだけ管理者権限を使う」
ミカ「万能鍵を毎日ポケットに入れない」
教授「そのとおりだ」

【防御策②　権限の棚卸し】

ミカ「権限は一度設定すれば終わり？」
教授「権限は放置すると増える」
ミカ「体重みたいですね」
教授「定期的な棚卸しが必要だ」
ミカ「誰が何を見られるか一覧にする」
教授「異動、退職、休職、委託終了のたびに見直す」
ミカ「不要な権限を削除」
教授「特に『昔の仕事で必要だった権限』を残さない」
ミカ「追加する会社は多くても、削除する会社は少なそうです」
教授「権限管理では、足し算より引き算が重要なことがある」

【防御策③　ログを取るだけでなく見る】

ミカ「操作ログも重要ですね」
教授「ただし記録するだけでは足りない」
ミカ「誰も見ないログ？」
教授「高価な日記帳だ」
ミカ「何を見るのですか」
教授「大量データ取得、深夜のアクセス、普段使わないシステムへのアクセス、短時間での大量閲覧などだ」
ミカ「普段との違いを見る」
教授「そうだ。正常なユーザーによる異常な行動を見つける」

【防御策④　DLPで出口を監視する】

ミカ「情報の持ち出しは？」
教授「そこでDLP、Data Loss Preventionという考え方がある」
ミカ「何をするのです？」
教授「重要情報がUSB、メール、クラウドなどを通じて外部へ出ようとしたとき、検知や制御を行う」
ミカ「情報の出口検査ですね」
教授「そうだ」
ミカ「全部止める？」
教授「業務内容に応じる。重要なのは、会社としてどの出口を認め、どの出口を管理するのか決めることだ」

【防御策⑤　特権アカウントを特別管理する】

ミカ「一番危険なのは管理者アカウントですか」
教授「被害が大きくなりやすい」
ミカ「何でもできますからね」
教授「そこでPAM、特権アクセス管理という考え方がある」
ミカ「具体的には？」
教授「管理者権限を必要な人へ、必要な時間だけ与える。利用記録を残す。重要操作には承認を求める」
ミカ「管理者だから自由ではなく？」
教授「管理者だからこそ厳しく管理する」

【防御策⑥　退職・異動とアカウント管理を連動させる】

ミカ「退職者IDはいつ消しますか」
教授「会社の手続きと連動して、適切なタイミングで確実に停止する」
ミカ「Microsoft 365を停止」
教授「それだけでは？」
ミカ「VPN」
教授「クラウド」
ミカ「業務システム」
教授「GitHub」
ミカ「社内ポータル……多いですね」
教授「だからアカウント一覧が必要になる」
ミカ「一個だけ止めて満足しない」
教授「退職時は、その人が持つデジタルの鍵を全部返してもらうと考えよう」

【防御策⑦　ログを消せないようにする】

ミカ「管理者なら自分のログを消せませんか」
教授「そこも重要だ」
ミカ「証拠を消されたら？」
教授「重要ログを別のログ管理基盤へ転送し、操作対象システムの管理者が簡単に消せないようにする」
ミカ「管理者を管理する仕組みですね」
教授「そうだ」
ミカ「監視カメラを警備員本人だけが消せる設計にしない」
教授「分かりやすい」

【防御策⑧　職務分離】

ミカ「一人に全部任せない方法もありますね」
教授「職務分離だ」
ミカ「例えば振込担当と承認担当を分ける」
教授「システムでも同じだ。重要データの大量出力や権限変更などを、一人だけで完結させない」
ミカ「二人で確認する」
教授「そうすれば誤操作にも内部不正にも強くなる」
ミカ「社員を信用していないみたいですが」
教授「逆だ。人だけに責任を背負わせない仕組みとも言える」

【防御策⑨　職場環境も見る】

ミカ「技術だけで防げますか」
教授「内部不正では、人の問題も無視できない」
ミカ「不満や金銭的問題ですか」
教授「そうした要因が動機になる場合もある」
ミカ「セキュリティ担当が人間関係まで？」
教授「全部解決する必要はない。しかし相談窓口、適切な人事管理、明確なルールなども予防につながる」
ミカ「不正のトライアングルという言葉もありますね」
教授「動機・機会・正当化だ」
ミカ「権限管理で機会を減らす」
教授「明確なルールで正当化を減らす」
ミカ「職場環境で動機を減らす」
教授「技術と経営の両方が必要だ」

【安全な範囲で内部不正の流れを見る】

ミカ「一つの例で整理してください」
教授「営業担当AさんがCRMへ正規ログインする」
ミカ「正常です」
教授「設定ミスで全顧客を閲覧できる」
ミカ「第一の問題」
教授「大量の顧客情報を取得する」
ミカ「第二の問題」
教授「外部ストレージなどへ持ち出そうとする」
ミカ「第三の問題」
教授「ではどこで止める？」
ミカ「最初から担当顧客しか見せない」
教授「第一防御」
ミカ「大量取得を監視する」
教授「第二防御」
ミカ「外部への持ち出しを制御する」
教授「第三防御」
ミカ「ログを別の場所へ保存する」
教授「第四防御」
ミカ「一つ失敗しても次で止める」
教授「内部不正も多層防御だ」

【経営者が確認したい10項目】

ミカ「経営者なら何を確認すればよいですか」
教授「まずこの10点だ」

1. 誰が顧客情報へアクセスできるか

2. 誰が給与・人事情報へアクセスできるか

3. 誰が管理者権限を持っているか

4. 共有IDが残っていないか

5. 異動前の権限が残っていないか

6. 退職者・委託終了者のIDが残っていないか

7. 大量データ取得を検知できるか

8. USB・メール・クラウドなどの持ち出し経路を把握しているか

9. 操作ログを記録し、実際に確認しているか

10. 委託先や再委託先にも権限管理を求めているか

ミカ「一つでも『分からない』があると？」
教授「そこから確認を始めればよい」
ミカ「知らないまま『大丈夫だと思います』が一番危険ですね」
教授「セキュリティで最も危険なパスワードは、『たぶん大丈夫』かもしれないな」

【委託先にも同じルールを】

ミカ「ベネッセ事件では再委託先が関係していました」
教授「だから自社社員だけ管理しても足りない」
ミカ「前回のサプライチェーン攻撃につながりますね」
教授「そうだ。委託先が自社データへアクセスするなら、その権限も管理対象だ」
ミカ「誰がアクセスできるか」
教授「再委託されているか」
ミカ「退職者の権限は消えるか」
教授「事故時に連絡してくれるか」
ミカ「契約書だけでなく実態を見る」
教授「委託したのは仕事であって、リスクまで他社へ譲渡したわけではない」

【監視しすぎてもいけない】

ミカ「社員を全部監視すれば安全では？」
教授「それも単純ではない」
ミカ「プライバシー？」
教授「そうだ。監視目的、対象、保存期間、アクセスできる人などを明確にし、社内規程や法令にも配慮する必要がある」
ミカ「セキュリティを理由に何でも監視していいわけではない」
教授「内部不正対策が新しい不正を生んでは困る」

【内部不正対策の核心】

ミカ「結局、社員を信用したほうがいいのですか。疑ったほうがいいのですか」
教授「その二択にしないことだ」
ミカ「どういうことです？」
教授「人は信用する。しかしシステムは必要な権限だけ渡す」
ミカ「重要操作は記録する」
教授「異常は検知する」
ミカ「不要になった権限は削除する」
教授「持ち出し経路も管理する」
ミカ「つまり？」
教授「善意の人は間違えにくく、悪意があっても実行しにくく、実行されても発見できる仕組みを作る」
ミカ「それなら社員を犯罪者扱いしなくて済みます」
教授「それが健全な権限管理だ」

【ミカと教授の一言で締める】

ミカ「教授、内部不正を一言で説明してください」
教授「外から鍵を壊して入るのではなく、正規に渡された鍵を、本来許されていない目的に使うことだ」
ミカ「最大の防御は？」
教授「必要以上の鍵を渡さない」
ミカ「使った記録を残す」
教授「不要になったら返してもらう」
ミカ「つまり最小権限、ログ、権限削除」
教授「その三つは基本だ」
ミカ「教授、私は教室に入る権限があります」
教授「ある」
ミカ「研究室の冷蔵庫を開ける権限は？」
教授「ない」
ミカ「プリンが見えています」
教授「内部不正の動機をわざわざ発見しないでくれ」

【次回予告】

【第16回　DNSキャッシュポイズニング――「インターネットの住所録を書き換えられたら？」】

ミカ「次回はまたネットワーク攻撃へ戻るのですね」
教授「そうだ」
ミカ「DNSはインターネットの住所録でしたね」
教授「利用者がWebサイトの名前を入力すると、DNSが接続先となるIPアドレスを教えてくれる」
ミカ「では、その住所録に偽物の住所が書かれていたら？」
教授「利用者は正しい名前を入力したのに、攻撃者の用意した別の場所へ案内される可能性がある」
ミカ「自分は何も間違えていないのに？」
教授「そこが怖い」
ミカ「カーナビへ正しい店名を入れたのに、偽物の店へ着くようなものですね」
教授「第16回は、DNSが一度覚えた住所情報――キャッシュそのものを汚染する攻撃を考えよう」