ファイルサーバーのセキュリティ対策といえば、ウィルスや不正アクセスなど、第3者による外部攻撃に目が向きますが、内部不正による情報漏洩にも注意する必要があります。なぜなら内部の人間の情報漏洩には悪意が伴い、一度発生すると被害規模が大きくなる傾向が強いからです。また企業は管理責任を問われ、深刻なダメージを被ることが少なくありません。
そこで本稿では、最初にファイルサーバーに必要なセキュリティ対策全般を説明し、その次に内部不正の情報漏洩に特化したセキュリティ対策をご説明します。
目次
- なぜファイルサーバーのセキュリティ対策が重要なのか？
- ファイルサーバーに必要なセキュリティ対策とは？
- 内部からの情報漏洩は何が特殊なのか？
- 内部不正対策の難しさは、業務の利便性との兼ね合いにある！
- 内部不正を防ぐ、ファイルサーバーのセキュリティ対策とは？
- まとめ
なぜファイルサーバーのセキュリティ対策が重要なのか？
ファイルサーバーのセキュリティ対策の重要性は、それを怠った場合のリスクを考えれば良く分かります。まずデータの流出が最大のリスクです。顧客や取引先の個人情報や機密情報が外部に漏れれば、企業の信用は失墜し、取引先から取引停止を言い渡されるリスクがあります。
さらに不正アクセスによるデータ破壊や、サービスの乗っ取りも考えられます。これらは業務停止やシステムの全面的な復旧を必要とし、ビジネスに重大な支障をもたらします。
業務停止によって損害賠償の支払いを求められるリスクもあり、財務面で深刻な打撃を受けることでしょう。
またセキュリティ違反が発覚すれば、関係当局から行政指導や罰則を受けることもあり、法的対応が求められることになります。これらのリスクを避けるために、ファイルサーバーのセキュリティ対策は極めて重要で不可欠なものと言えます。
ファイルサーバーに必要なセキュリティ対策とは？
それではファイルサーバーには、どのようなセキュリティ対策が必要となるのでしょうか。主に次の７つが必須の対策となります。
１. アクセス制御の強化
各ユーザーに固有のIDとパスワードを付与し、誰がどのファイルにアクセスできるかを細かく管理します。また定期的にパスワードを変更し、不要なユーザーアカウントを削除することで、セキュリティの穴を防ぎます。特にアカウントの共有は、有事の際に実際に漏洩した利用者の特定が難しくなります。また、内部情報漏洩を発生しやすくする要因となります。
２. 暗号化の実施
データが漏洩しても解読されないようにするための対策で、特に外部攻撃や物理的な盗難に対して有効となります。
３. 強力なパスワードと多要素認証（MFA）の導入
アクセス制御と同様に、認証プロセスの強化も非常に重要です。文字数の少ない弱いパスワードや単一の認証方法に依存するのはリスクが高いため、多要素認証（MFA）の導入でセキュリティを強化するようにします。
４. ウイルス対策・マルウェア対策ソフトの導入
ファイルサーバーがマルウェアに感染した場合、その影響は深刻なものがあります。ウイルス対策ソフトの導入は必須・不可欠の対策です。
５. 定期的なパッチ適用・システム更新
公知の脆弱性が悪用されることを防ぐため、パッチ適用は極めて重要な対策です。特にゼロデイ攻撃やランサムウェアのリスク軽減に貢献します。
６. ログの監視と異常検出
早期の脅威検出と対策のために、ログの監視は重要です。異常な行動を即座に発見できる体制があると、被害を最小限に抑えることができます。また、ログは有事の際に被害状況を把握するためにも重要です。
７. 定期的なバックアップ
これは最後の防衛策として位置づけられます。システム障害やランサムウェア攻撃後の復旧手段として不可欠です。特にランサムウェア対策の場合、感染前まで遡って復旧するために複数世代管理をすることや、バックアップデータの感染を防ぐためにネットワーク上つながりのない場所に保管することも重要です。
また、正しくデータの復元ができるか、定期的な復旧テストも必要です。
内部からの情報漏洩は何が特殊なのか？
それでは次に、内部からの情報漏洩は何が特殊なのか、考えてみましょう。内部情報漏洩が特殊なのは、内部の人間ゆえに機密情報に直接アクセスでき、大規模な情報流出が発生しやすいことにあります。以下にその詳しい理由を、ウイルス等の外部攻撃と対比して説明します。
１.アクセス権限の違い
外部攻撃の場合、攻撃者はシステムに侵入するために様々なセキュリティ対策を突破する必要があります。ファイアウォール、暗号化、認証システム、多要素認証などの防御を回避しなければならず、ユーザー権限の取得は決して簡単なことではありません。
しかし内部不正の場合、悪意を持った内部の人間は既にシステム内のアクセス権限を持っていることが多く、特に管理者権限や高度なアクセス権限を持つ従業員が加担する場合、その人物は重要なデータや機密情報に直接アクセスできます。
仮に外部のハッカーが侵入しても、彼らがアクセスできるデータは限られる可能性が高いです。管理者権限を得るまでには多くのプロセスが必要で、攻撃が発覚するリスクも高まります。一方の内部不正では、既に権限を持つ人物が直接データを取得するため、より広範囲の情報が容易に流出するリスクがあります。
２.対策の難易度
外部攻撃に対する防御は技術的な対策が充実しているため、ファイアウォール、アンチウイルス、侵入検知システム（IDS）、侵入防止システム（IPS）等の導入により防御できます。しかし内部不正の場合、従業員がすでにセキュリティの内側にいるため、これらの技術的防御手段は効果が薄くなります。
内部不正の防止には、技術的な対策だけでなく、物理的な対策や従業員の意識向上、行動監視が必要です。例えば、アクセスログの監視や異常な行動パターンの検出が有効ですが、これも内部の人物が意図的に痕跡を消そうとすれば、発見が難しくなります。さらに内部の人物に対する信頼を前提に運営されているシステムでは、その信頼が破られると大きなダメージを受ける可能性があります。
３.動機と機会
外部攻撃の場合、攻撃者は金銭的な利益、あるいは単純にシステムを破壊することを目的にすることが多いです。これに対して内部不正の動機は、個人的な恨み、内部への不満、転職先への情報提供、あるいは競合他社への情報売却といった明確な目的があります。また内部の人間は業務の流れや重要データの所在をよく知っているため、外部攻撃者よりも効率的にターゲット情報にアクセスできます。
外部の攻撃者がデータを特定するには多くの調査が必要ですが、内部者はその手間を省略できます。結果として短時間で重要な機密情報などが流出する可能性があり、その影響範囲が外部攻撃に比べて非常に大きくなることがあります。
４.検知の難しさ
内部不正は外部攻撃に比べて検知が難しいという特徴があります。外部攻撃は通常、異常なネットワークトラフィックや不正アクセスの試行として、セキュリティシステムに引っかかることが多いですが、内部不正は日常業務の一環として行われるため、異常が検知されにくいです。
例えば、従業員が業務時間中に正規の手順でデータにアクセスし、そのデータを外部に持ち出す場合、ログに残る操作自体は通常の業務範囲内です。このためアクセスログだけでは不正を見抜くのが難しく、発覚するまでに時間がかかってしまいます。
内部不正対策の難しさは、業務の利便性との兼ね合いにある！
これまで見てきたように、内部不正による情報漏洩が深刻になる理由は、内部者がすでにシステムへのアクセス権限を持ち、技術的対策を回避できる点にあります。そのため内部不正対策では、業務内容に応じたアクセス権限の設定（アクセス制御）と、ファイルを外部に持ち出す機能を制限する（持ち出し制限）が重要な対策となります。
ところがこのアクセス制御と持ち出し制限は、常に業務の利便性と衝突することになるのです。例えばアクセス制御が過度に厳しくなると、必要なデータを得るのに、毎回上司や管理者の許可を得ることになり、業務スピードが遅延し迅速な意思決定ができなくなります。
このような状況では、従業員がアクセス権の制限に不満を抱き、業務に対するモチベーションが低下してしまう危険があります。したがってセキュリティ強化と業務効率のバランスを適切にとることが、何よりも重要な課題となるわけです。
業務の利便性を確保しながらの情報漏洩対策にはコプリガードやトランセーファーがおすすめです。
内部不正を防ぐ、ファイルサーバーのセキュリティ対策とは？
それでは業務効率のバランスを適切にとる内部不正対策とは、どのようなものになるのでしょうか、一つ一つ見ていきましょう。
１.アクセス制御
まずはアクセス制御です。役職や業務内容に応じて適切なアクセス権限を設定し、必要以上に大きな権限を与えないことが何よりも重要になります。ここで業務の利便性を確保するには、次のような細かな対応をすることが望ましいです。
- 部署単位、役職単位での権限設定に留まらず、
個別のPC単位で権限設定できると、業務内容に応じた細かな運用が可能になります。 - ファイル毎に権限を設定しては変更作業が煩雑になるので、
フォルダ単位でも権限設定できることが望ましいです。 - 「個人情報を扱うアプリケーションの印刷機能だけを、特定の部署に許可する」というように、
アプリケーション単位で権限設定ができると大変便利です。 - 研究開発部門のように小規模組織だけで運用する場合、サーバーによる一括設定ではなく、
PC毎にアクセス権限設定できると利便性が高まります。 - サーバーによる制御ではなく、
ファイル毎に利用PCを設定できれば、そのPC以外ではファイルを開けず安全性を確保できます。
ただし、アクセス制御だけでは画面キャプチャーなど持ち出しによる情報漏洩のリスクは残ります。
以下の持ち出し制限の対策と組み合わせることが大切です。
２.持ち出し制限
持ち出し制限はファイルを外部に持ち出す機能を制限し、情報漏洩のリスクを低減する対策です。過度な制限は日常業務の利便性を損なうので、次のように細かな対策を行うことが重要になります。
- 特定のリモートソフトのみに利用を限定することで、許可のないソフトを使った外部とのアクセスを禁止します。
- USBメモリーやスマートフォン等、外部デバイスへのコピー機能を無効にすることで、情報の外部流出を防ぎます。
- ファイルは閲覧だけを許可し、コピー、印刷、メール添付、画面キャプチャー等、情報流出につながる操作を必要に応じて制限します。
- 重要ファイルの置かれたフォルダーを保護対象にすることで、フォルダー外への持ち出し操作を禁止します。
- ファイルを閲覧機能だけに制限することで、配布した後も、編集、印刷、画面キャプチャーを禁止できるようにします。
- ファイルに有効期限を設定することで、期限が経過後は開けないようにし、自動削除もできるようにします。
業務効率を落とさず、内部不正による情報漏洩を防ぐには
まとめ
いかがでしょうか。業務の利便性を確保しつつ内部不正対策を実施するには、全体を大きく設定し、時には細かい設定も可能なように、システムを構築する必要があります。ここでご説明した全ての対策は、当社のコプリガードとトランセーファーにて対応できますので、ご検討のほどをよろしくお願い申し上げます。
最後までお読み頂き、ありがとうございました。
※本記事の掲載事例は現時点での当社調べの内容です。
本記事の作成者：石川
所属：株式会社ティエスエスリンク / 営業部
情報漏洩対策のポイントを、最新の事例をもとに解説します。漏洩した場合、損害額はどれ位になるのか？ 漏洩の原因は何か？ 企業はどのような対策を講じるべきか？ さらには万一漏洩した場合の対応手順まで、一気に解説していきます。
