重要端末のセキュリティ、切り離すだけで満足していませんか？

情報漏洩事件の事例として、業務中に私用のスマートフォンを充電しようと思い、重要端末に繋げたところ『記録媒体』として認識され、つい魔が差して機密情報の持ち出しを行ってしまったケースや、デバイス制御はしているが直接LANケーブルを接続して別PCに情報を持ち出す事例が過去に国内で発生しています。

そのため、重要端末のセキュリティとしてネットワークから切り離すことは『外部からの攻撃』には効果を発揮しますが、『内部不正』には弱く、別途対策を講じる必要があります。

IPA(独立行政法人情報処理推進機構)の定める「日常における情報セキュリティ対策」^※1では、情報持ち出しルールの徹底や社内ネットワークへの機器接続ルールの徹底が掲げられ、紛失や不正に備えることが定められています。

また、『内部不正による情報漏洩』は「情報セキュリティ10大脅威 2023」^※2にて4位にランクインし、2022年(5位)・2021年(6位)と比べて順位が上がっていることからも分かるように、対策の重要性が高まっています。

1. 参考：IPA(独立行政法人情報処理推進機構)「日常における情報セキュリティ対策」
2. 参考：IPA(独立行政法人情報処理推進機構)「情報セキュリティ10大脅威 2023」

内部不正による情報漏洩事件を防ぐためには？

防犯の基本原則として知られ、標語などにもよく用いられる「しない」　「させない」　「見逃さない」というものがあります。
また、近年はデータの流出を事故ではなく事件として取り扱う傾向が強まっています。
そこで、防犯の基本原則を当てはめ、具体的な対策例と共に確認してみます。

それぞれ、以上のように当てはめることができます。
そして、それぞれの対策には以下のような特徴があります。

対策方法	メリット	デメリット
従業員のコンプライアンス意識向上	時代や技術の変化に対して柔軟に対応可能。 様々なサイバーリスクに対して有効。	浸透や維持に画一的な手法がなくコストの見通しが立て難い。 短期間での浸透が難しい。
管理部などによる閲覧・使用制限	制御可能な技術に対しては絶対的な担保が可能。 制御内容の変更以外の管理コストが発生し難い。 導入および設定から即座に効力を発揮する。	ゼロトラストやクラウドなどの新規技術への対応に時間を要する。 現場の作業効率に影響を及ぼす可能性がある。
不審な操作や怪しい操作に対する アラート	ユーザーにも通知することで抑止力となる。 印刷など、アナログな手段にも対応。 時代や技術の変化に比較的強い。 導入および設定から即座に効力を発揮する。	検知後の対応となるため、後手に回ってしまう場合がある。 環境や運用に即した設定を行わないと効果が期待できない場合がある。

業務は「止めない」不正は「させない」

特に『悪意を持っている場合』や『犯罪は承知で自己利益のため』に行おうとしていた場合、上記の「しない」対策では抑止とならず、「見逃さない」対策では後手に回ってしまい被害が拡大してしまう恐れがあります。

そこで「させない」対策として利用いただけるラネクシーの提供するデバイス制御ソリューション『RunDX』です。
業務PCに対してデバイス制御を実施することで、情報漏洩を「させない」最終防衛ラインとすることが可能です。

また不正を「させない」だけでなく、業務を「止めない」機能としてホワイトリスト機能による利便性や管理サーバー不要で導入可能な簡便さも有しています。

基本のデバイス制御機能として、USBメモリやスマートフォンの利用を禁止（接続しても読み書きができない状態）することはもちろん、
IP/Portに対するネットワーク制御を行い、許可していない端末へLanケーブルを介しての不正な持ち出しも防ぐことができます。

デバイス制御とネットワーク制御を組み合わせることで、特定の端末同士に限ったデータのやり取りが可能となり、
セキュアなネットワーク環境の構築を実現し、重要端末のセキュリティ強化・情報漏洩対策へ繋げることができます。

USBデバイスの利便性を生かしたセキュリティ対策

情報漏えいを意識するあまり、USBを利用不可にしている企業もあるといいます。
しかし、一律に利用禁止してしまうと、生産性の低下を招いてしまいます。
そこでおすすめしたいのが、USBデバイスの利便性を生かしつつ、セキュリティの強化も実現する方法です。
「RunDX」では、デバイスの利用に際して、許可、禁止、読み取り専用といった細かいセキュリティポリシーを設定できます。
また、「USBホワイトリスト」機能を使えば、USBメモリーに付与されているベンダーIDやプロダクトID、シリアルNo.をもとに、特定のデバイスにのみアクセス許可も与えられます。 つまり、「情報システム部門が指定したUSBメモリーのみ利用可」といった使い方も可能になるのです。

管理サーバー不要で負担のかからない導入・運用

RunDXは管理対象のクライアント用エージェント「RunDX Agent」に対して、ポリシーなどを適応させる際、管理サーバーを用意しなくても、RunDXの管理用ツール(無償)があれば、ネットワークに接続されている「RunDX Agent」の運用管理が可能です。

RunDX管理用ツールはWebブラウザー(Google Chrome、Microsoft Edge)にて利用できますので、別途高額なハードウェア準備など、管理サーバーを構築する必要がありません。低コストで効率的なセキュリティ対策を実現できます。

「RunDX WEBコンソール」を使った小規模利用