4.4 情報漏えい対策

　上記の図は、０６年１１月までに新聞やインターネットで公表された情報漏えい事故から、電子化された情報の漏えい原因をカテゴライズして集計し、多いものから順に並べたものです。4.1.1で述べたようにリモートアクセスを導入することによりこれらの原因すべてが増加する可能性があります。リモートアクセスでは、顧客情報や個人情報をオフィス外で扱うことが多くなりますから、情報漏えいには特に気をつける必要があります。

　上記の原因のすべてに有効な対策として、機密情報の暗号化（7.2参照）を徹底する必要があります。

　上記情報漏えいの原因に対する対策は以下のとおりです。

・ 1、4に対する対策：4.4.1を参照して下さい
・ 2に対する対策：4.4.2を参照して下さい
・ 3に対する対策：リモートアクセスで使用するパソコンではファイル交換ソフトの使用は原則として禁止します
・ 5に対する対策：4.3で述べた不正侵入対策が対策の一つになりますウィルス対策としては、一般的なウィルス対策をおこないます
・ 6に対する対策：セキュリティホールの撲滅（OSやソフトウェアの継続的更新）およびWebサーバー対策（4.3.2参照）をおこないます
・ 7に対する対策：携帯電話（6.3.2参照）のプロバイダが提供している電話帳やアドレス帳などの情報をリモートから削除する機能などの活用を検討する
　
　上記の原因には挙げられていませんがインターネット上での情報漏えいを防ぐためには、VPN（7.6参照）による接続で、すべての情報を暗号化するのが有効です。
　また、リモートアクセスとは直接関係しませんが、情報漏えい対策の一つにシンクライアントシステム(7.7参照)があります。シンクライアントシステムはクライアント機器にハードディスクなどの情報保存機能を持ちませんから、クライアント機器からの情報漏えい対策になります。リモートアクセスでも利用可能ですが、同様な効果はリモートデスクトップ（2.4.1参照） やファイル共有機能（2.4.4参照）を活用することによっても実現可能です。
　

コース （A  B  C  D  E）

4.4.1 PCや情報メディアの持ち出しを許可する場合

パソコンや情報メディアを持ち出してリモートでアクセスすることを許可する場合に、もっとも注意しなければならないのは、情報漏えいです。情報漏えいが心配だからといって、パソコンやメディアの持ち出しを禁止することは、勤労意欲をそぐことになり、また、いつでもどこでもというユビキタス社会に逆行することにもなりますから、しっかりした安全対策をとった上で、利用者の自覚のもとに、持ち出しを許可するのが望ましい方向です。

　安全対策としては、次のようなものが必要になります。

・ パソコンや情報メディアを持ち出した時の利用規則の制定
例えば、次のようなことを制定します。
−持ち出しと返却の手続きを明確にし、その所在を管理する
−情報の露出が懸念される場所での使用を禁止する
−行動規範を制定し、不用意な行動や公私混同を避ける
−置き忘れ、盗難に注意する
−修理に出したり破棄したりする場合の規則を制定する
・ 機密情報の暗号化の徹底
許可する限り、盗難や紛失は必ず起きることを前提に、パソコンは盗まれても情報は盗まれないように、機密情報は必ず暗号化することを徹底する。
・ 暗号鍵の管理
暗号の鍵はパソコンや情報メディアとは別に所持して、一緒に盗難にあったり、紛失したりすることを防がなければなりません。そのためには、暗号鍵は習慣としてパソコンなどとは別に持ち運ぶもの、（たとえば、ICカードを利用した社員証などのIDカード）に入れておき、そのIDカードは指紋や静脈などの生体認証により、正しい持主であることを認証する、といった方法などで安全性を高めることができます。あるいは、暗号鍵はしっかりした認証の元にネットワークでダウンロードする方法もあります。
　

コース （A  B  C  D  E）

4.4.2 企業内メールの外部への転送を許可する場合

電子メールは自分の都合で送り、自分の都合で読めるため、企業や公共団体などの内部でも連絡手段として活用されています。リモートアクセスにおいてもVPNやリモートデスクトップ接続で社内のメールサーバーにアクセスしてメールを利用することができます。この場合は、ネットワーク上は暗号化されているので、盗み見られる危険性は低いのですが、メールは外部のパソコンに残りますから、ここからの情報漏えいに注意する必要があります。この場合4.4.1と共通した対策となります。

　外出先や帰宅後にも社内メールにアクセスしたい場合に、社内の自分宛のメールをインターネットの自分のメールアドレスに自動転送を設定することがあります。セキュリティ上は自動転送は禁止することが望ましいのですが、例外的に自動転送を許可する場合、および一般的に社内のメールを外部の誰かに転送することを許可する場合には、次のような脅威に注意する必要があります。

・ 宛先を誤って、意図しない人に送ってしまう
・ 受けた人が第三者に転送する
・ ネットワーク上で盗み見られる（メールは暗号化されていないことが多く、またいくつものプロバイダを経由するため盗み見られる機会が多い）

　このような脅威に対しては次のような対策を検討する必要があります。

・ 社内メールの利用規則を制定し日頃から遵守させる
たとえば、機密情報はメール本文には書かず、添付ファイルにし、このファイルは暗号化する、または、外部へ転送する時はメールサーバーで自動的に添付ファイルを削除する
・ 従業員規則などの守秘義務の中にメールでの機密漏えいに注意することおよび　故意に行った場合の罰則を明示する

メールによる情報漏えい事故の多いことが指摘されています。便利なツールであるからこそ利用規則をつくり、これを守るように教育やモラルアップを図ることが必要です。
　

コース （A  B  C  D  E）