情報漏洩対策はデータの「暗号化」が鍵｜企業が講じるべき基本と「最後の砦」とは？

1-1. 情報漏洩は企業の存続をも脅かす経営リスク

クです。大規模な情報漏洩が発生すれば、顧客や取引先からの信頼を失う「社会的信用の失墜」は避けられず、商談停止や契約見直しなど、事業継続に直接影響する事態へと発展する可能性があります。

また、被害者への補償対応や調査費用、行政による指導・罰則など、経済的負担も無視できません。信用とコストの双方で受ける大きな打撃が、情報漏洩の深刻さを物語っています。

1-2. なぜ情報漏洩は起きてしまうのか？

情報漏洩の原因は、大きく「外部からの攻撃」と「内部不正」、「人的ミス」という3つの視点でとらえられます。外部攻撃には、ランサムウェアなどのマルウェア感染、サーバーやシステムへの不正アクセスなどが含まれ、技術的な防御をすり抜ける手口が増えています。

内部不正としては、従業員や元従業員による意図的な情報の持ち出し（内部不正）が挙げられるでしょう。

また、人的ミスとしてはメールの誤送信、USBメモリの紛失などが代表的な原因です。

外部攻撃・内部不正・人的ミスの具体的な原因については、のちほど詳しく解説します。

1-3. 企業が被る「直接的損害」と「間接的損害」

情報漏洩による損害は、金銭的な負担だけではなく、企業活動全体に広がる点が特徴です。

直接的損害とは、漏洩原因の調査費用やシステムの復旧コスト、被害者への損害賠償金といった、直接的に発生する金銭的コストを指します。

一方の間接的損害は、被害対応による通常業務の停止、ブランドイメージの低下による顧客離れや株価下落など、目に見えにくい形で生じるコストです。間接的損害は発生規模の把握が難しく、業績に対し長期的な影響をおよぼす可能性があります。

1-4. 法改正と近年の動向｜高まる企業の責任

情報漏洩に対する規制は強化が続いており、企業にはより厳密な管理体制が求められるなど法的な厳しさが増しています。

2022年4月に施行された改正個人情報保護法では、情報漏洩が発生し個人の権利利益を害するおそれが大きい場合には、個人情報保護委員会への報告と本人への通知が義務化されました。

ただし、同法の施行規則および個人情報保護委員会によるガイドラインには、漏洩した個人データが「高度な暗号化等の秘匿化がなされている場合」であれば、本人への通知が免除される例外規定も設けられています。その適用条件は、電子政府推奨暗号リストやISO/IEC 18033などに掲載されている暗号技術を利用し、その実装・運用が適切に行なわれていることです。

また、同法の違反に対する罰則も大幅に強化され、法人への罰金は最大1億円にまで引き上げられました。このような動向から、データの高度な暗号化や権限管理の厳格化を含む、これまで以上に堅牢な情報管理体制の構築が不可欠となっています。

2-1. ①：外部からの攻撃

特定の企業や組織を狙う標的型攻撃は年々巧妙化しており、企業にとって大きな脅威となっています。代表的な手法として挙げられるのは、スパイウェアやランサムウェアなどによるマルウェア感染、VPN機器の脆弱性を突いた不正アクセスなどです。

近年の調査では、情報漏洩事故の半数以上が外部からの不正アクセスやマルウェア感染に起因するとされており、継続的に警戒すべきリスクといえます。

2-2. ②：内部不正

内部不正とは、従業員や元従業員、業務委託先の担当者など、組織の内部関係者が意図的に機密情報を持ち出し、外部へ流出させる行為を指します。

不正は「動機」「機会」「正当化」という3つの要素がそろったときに発生しやすいとされ、待遇への不満や退職時の転職先への手土産などが動機となるケースがあります。これらは内部の人間による犯行のため、検知が困難な点が特徴です。

内部不正は即座に気付きにくいことから、企業に深刻なダメージを与える可能性があります。

2-3. ③：人的ミス

メールの宛先間違いによる「誤送信」や重要書類、持ち出したパソコン・USBメモリなどの記録媒体を「紛失・置き忘れ」するといったミスも、情報漏洩の典型的な原因です。

内部不正とは異なり意図的ではないものの、日常業務のなかで誰にでも起こりうる点が問題であり、個人の注意力だけに依存せず仕組みによってカバーする対策が不可欠です。

3-1. 「多層防御」とは

「多層防御」とは、サイバー攻撃に対して複数の防御層を構築してデータを守り、被害を最小化する施策です。1つの対策が破られたとしても、さらに別の対策が施されているため、容易には情報を漏洩させません。

多層防御では、「入口対策」「内部対策」「出口対策」のように、3つの防御層に分けて対策を行なうことが一般的です。仮にネットワーク境界の入口での対策を突破されても、出口側の対策によりデータ流出を防ぎます。万が一データが流出してしまっても内部対策である暗号化により、データの内容を解読することは困難で、被害を最小限に留めます。

3-2. 「多重防御」との違い

多層防御と似た言葉として、「多重防御」があります。多重防御は、入口対策としていくつもの対策を講じるような施策です。

多重防御では、システムやネットワークに侵入されないことを重視しているのに対し、多層防御では侵入されたあとのことも考慮する対策だといえます。

4-1. 入口対策

入口対策は、企業ネットワークやシステムの外からの攻撃や侵入を防ぐための対策です。ここでは入口対策の具体例をいくつか挙げて解説します。

ファイアウォール・WAF

ファイアウォールはネットワークの境界に設置し、外部から内部へ、あるいは内部から外部へ必要な通信のみを許可して、不要な通信はブロックします。不審なアクセスを最初に阻止する役割です。

WAF（Web Application Firewall）はWebアプリケーションサーバーとインターネットの間に設置して、不正なアクセスやサイバー攻撃（SQLインジェクション、DDoS）などを防ぎます。ファイアウォールでは防げない攻撃をWAFで防ぐことができます。

IDS/IPS

IDS（不正侵入検知）とIPS（不正侵入防御）は、外部からの不正なアクセスを検知し、侵入を防ぐためのシステムです。

IDSは不正侵入をいち早く検知して通知するシステムであり、IPSは不正侵入を検知したら自動的に通信を遮断する仕組みのシステムです。

脆弱性の管理

ネットワーク機器やパソコン・サーバーなどのOSおよびソフトウェアを常に最新の状態に保ち、脆弱性に対してはすぐにパッチを当てて修正することは、セキュリティ対策の基本です。

脆弱性を放置すると、これを悪用したサイバー攻撃の標的となりやすくなります。脆弱性情報を定期的に確認し、修正パッチが出たら速やかにOSやソフトウェアに当てて更新しましょう。

不正アクセスの防止

パスワードが盗まれると、そのアカウントを利用して容易に外部からの侵入を許してしまいます。安易なパスワードでは簡単にアカウントを盗まれてしまうため、パスワードポリシーを導入して、アカウントには複雑なパスワードを設定することが重要です。

また、多要素認証を導入することにより、万が一パスワードが漏れても他の認証要素によってアカウントの不正使用を防ぐことができます。多要素認証とは、認証の3要素（知識情報、所持情報、生体情報）のうち、2つ以上の認証要素を用いて認証を行なう方法です。

4-2. 内部対策

重要なデータを守り、被害の拡大を防ぐための対策が内部対策です。この内部対策に該当するおもな対策例を紹介します。

データの暗号化

機密情報などの社内データを暗号化することによって、万が一重要なデータファイルが流出しても、内容が解読されなければ情報漏洩を防ぐことができます。

パソコンやUSBメモリなどが盗難・紛失したとしても、データの内容は解読できないため情報漏洩のリスクを大きく低減することが可能です。

ログ監視・管理

システムなどの操作ログを確認し、端末の不審・不正な操作などを監視することも重要な対策です。外部からの攻撃や内部不正等のリスクに対して、操作ログを確認することにより迅速に復旧対応ができます。

EDR

EDR（Endpoint Detection and Response）とは、パソコンなどの端末において不審な挙動がないか監視・検知するためのシステムです。

サイバー攻撃などを受けた際にはその兆候を検知して原因を究明し、必要な措置を自動的に講じることができます。

権限管理・アクセス制御

社内の情報に対して従業員に付与するアクセス権限は、業務上必要な範囲に限定する「最小権限の原則」を徹底することがポイントです。特に特権ユーザーの権限最小化は、インシデント発生時の影響を小さくするためにも重要です。

従業員の異動や退職時には速やかに権限を修正・削除するなど、見直す運用をルール化することも効果的な対策となります。

4-3. 出口対策

企業ネットワークから機密情報を外部へ漏らさないための対策を出口対策と呼びます。ここではおもな出口対策の例をいくつか紹介します。

サンドボックス

システムとは隔離された仮想環境を構築して、その仮想環境内で不審なプログラムを実際に実行し、その挙動を分析するサンドボックスは、効果的な出口対策の一つです。

マルウェアを実行しても、その被害はサンドボックスの仮想環境内に留まり、メインのシステムから情報が漏洩することはありません。

DLP

保有する情報の漏洩や消失を防ぐ「DLP（Data Loss Prevention）」というシステムがあります。機密情報を識別したうえで、データの外部への送信やデータコピーといった行動に不審な点が見られる場合に、これを阻止することができます。

4-4. 組織としての対策

システムやネットワークの対策もさることながら、組織自体の対策も重要です。ここではいくつかの対策例を挙げて紹介します。

情報を取り扱うためのルールの策定

パソコンやUSBメモリ、書類などの物理的な持ち出しは、紛失や盗難による情報漏洩につながるリスクが高まります。人的ミスなどへの対策として、重要な情報の持ち出しは原則禁止とし、持ち出す場合には上長の承認を必須とするなど、明確なルールを定めることが重要です。

従業員に対するセキュリティ教育の徹底

人的ミスなどへの対策は、内部対策の一環でもあります。どれだけ高度なシステムを導入しても、それを使う従業員のセキュリティ意識が低ければ、情報漏洩のリスクを低減させることはできません。

従業員に対して継続的なセキュリティ教育を施し、組織全体のセキュリティ意識を高めることが、人的ミスによる事故を未然に防ぐために必要な対策です。

5-1. データ暗号化が必要な理由

「暗号化」とは、データを特定のアルゴリズムに基づいて、一見したところ意味のない文字列に変換し、第三者が容易に読み取れない状態にする技術です。

不正アクセスや内部不正などによってデータファイルが盗まれたとしても、ファイルの内容が暗号化されていれば第三者が内容を解読することは現実的に極めて困難なものとなります。

したがって、データの暗号化はデータファイルが流出した場合に、その内容や情報が漏洩するといった最悪のケースを防ぐことができます。

この点が、前述させていただいた「高度な暗号化等の秘匿化がなされている場合」であれば、本人への通知免除が認められている理由となっています。

5-2. 暗号化とともに重要な「鍵管理」

暗号化されたデータを元の状態に戻す（復号する）ためには、「暗号鍵」と呼ばれる専用の鍵データが必要です。

ただし、いくら強力な暗号化を施していても、この暗号鍵が盗まれたり管理が不適切だったりしていては、暗号化は意味をなしません。

そのため、そのため、暗号鍵を安全に管理することは、暗号化の安全性に対する重要な要素です。したがって、暗号鍵の生成から保管、更新、廃棄に至るまで、暗号鍵のライフサイクル全体を厳格に管理する「鍵管理」が不可欠です。

5-3. データ暗号化は情報漏洩対策における最後の砦

これまでに述べたとおり、サイバー攻撃による情報漏洩のリスクは多層防御による対策を施したとしても、ゼロにすることはできません。

それゆえ、データ暗号化はたとえデータが外部に流出しても、その内容を読み取られて情報が漏洩することを防ぐための最後の砦といえます。

6-1. 暗号化と鍵管理を同時に実現する「Cipher Security Service」

「Cipher Security Service」は、データベースサーバーやファイルサーバーに保存されている重要な情報を暗号化するサービスです。

不正アクセスやマルウェア感染などといったインシデントが発生した場合でも、高度な暗号化によって情報漏洩の被害を最小限に抑えます。

Cipher Security Serviceは、改正個人情報保護法が求める「高度な暗号化」を満たす、安全性の高い暗号化アルゴリズムの採用と、暗号鍵の分離保管に対応しています。暗号鍵は、キヤノンITSのデータセンター内に設置された鍵管理専用サーバーで厳重に保管されます。そのため、企業側で複雑な鍵管理を行なう負担がなく、手軽に高度なセキュリティを実現可能です。

「Cipher Security Service」

6-2. 個人情報漏えい対策ソフト「PCFILTER」

「PCFILTER」は、パソコンやファイルサーバー内に保存されている重要情報（個人情報や機密情報）を自動的に検出し、情報漏洩を未然に防ぐソフトウェアです。

マイナンバーやクレジットカード番号といった重要情報をリアルタイムでスキャンし、検出したファイルに対しては、AES256bitによる暗号化、隔離、削除といった保護処理を自動的に実行できます。また、復号はPCFILERを導入した端末のみで可能なため、第三者による鍵の利用を防げます。

さらに、USBメモリへのコピーや印刷、メール添付といった情報の持ち出し経路を監視・遮断する機能（DLP）もオプションとして備えており、内部不正や人的ミスに起因する幅広い漏洩リスクを抑制可能です。

「PCFILTER」