オチェアーノ - 情報の海に溺れて

読者です 読者をやめる 読者になる 読者になる

オチェアーノ-情報の海に溺れて

情報漏えいの事例など、情報セキュリティ意識を高めるブログ

MENU

NSAリーク再来か。内部犯による情報漏えいの危険性と対策

3年ほど前に情報漏えいのロックスター、エドワード・スノーデンを輩出した米国家安全保障局、略称NSA。

その当時スノーデン氏がリークしたNSAの極秘諜報プログラムPRISMによるインパクトは、世界を揺るがしました。

 

そしてつい最近のことですが、NSAの契約社員(51歳)だった人物がFBIに逮捕されていたことが分かりました。

逮捕自体は今年の8月末に既に行われていたとのことですが、明らかになったのはそれから1ヶ月以上も経ってからです。

 

容疑は極秘文書の許可なき持ち出し及び、政府管理物の窃盗ということで最大11年程度の刑罰の可能性。

容疑者はかなりの量の極秘文書を、自宅や車の中に隠し持っていたそうです。尚、情報が公開されたかどうかは現時点で不明とのこと。

この情報漏えいはなぜバレた?

実はスノーデン氏によるNSA国家諜報プログラムの暴露の後も、極秘のはずの文書がどんどん流出している実態がありました。

ネット上で投稿され続ける極秘情報、活動を活発化させるWikileaksに米当局も敏感になっていたのでしょう。

 

そのため、NSA内部でもかなり厳しい監視が行われていたと予想されます。電子的な監視のみならず、尾行などもついていた可能性が高い。

更に今年8月に"Shadow Brokers"というグループが秘密裏に情報収集を行うマルウェアを公開しました。

 

なんと、NSAが開発していたという情報つきで。そしてその関連性は高いというのが識者の見方のようです。

8月中旬のツール暴露、そして8月末にかけた元NSA契約社員の逮捕。この二つは恐らく無関係ではないのでしょう。

内部犯による情報漏えいの対策は難しい

たとえ外部からのサイバー攻撃対策に何十億円を使ったとしても内部犯の犯行は防げません。

情報漏えい事件の中でも、もっともどうしようもないのが内部犯による犯行です。

 

人の心は読めませんし、裏で何をたくらんでいるかなんてわかりようがありません。

現にNSAのような情報収集を大得意とする組織ですら、内部犯が分かっているだけで2名いたわけです。もっと居るかもしれません。

 

組織内部からの「意図しない情報漏えい」であればUSBデバイスの管理徹底やネットワーク上の対策だけで何とかなるでしょう。

しかし、「意図的な情報漏えい」の場合はお手上げになります。内部のセキュリティ対策等も当然知られているわけですから。

内部犯の情報漏えいに抵抗するならば

内部犯が意図的に情報漏えいを試みる場合は対策は非常に難しいですが、それでもできることはあります。

情報管理用の独立したサーバーの設置

極秘情報(資料やパスワード等)のみを保存したサーバーを設置し、単一のデータIN/OUTしか持たせない。

データ保存用のシステムから独立させることでリスクを分散できますし、何ならスタンダローンにして部屋に指紋認証をかけても良いでしょう。

管理者権限など高レベルな権限を持つアカウントの限定・監視

重要な資料へのアクセス権を持つアカウントを限定し、それらのアカウントの動向を常に監視することです。

アクセス制限がかかっていて内部犯行のであれば、情報漏えいの原因を突き止めるのはたやすいでしょう。

教育

あるイギリスの銀行では、万が一従業員が処理している現金に手をつけたらどういう社会的破滅が待っているかというビデオを従業員に見せるそうです。

脅しという意味であまり気持ちの良いものではありませんが、情報を意図的に漏えいしたらどうなるかという点を淡々と文章に起こして注意喚起するのも一つの手でしょう。

 

どちらかというと「意図しない」内部情報漏えいの方に効果がありそうですが。

 

いずれにせよ、内部犯による情報漏えいは非常に対策が難しく、信頼できる人間に任せる以外の手段はないのが実際のところでしょう。

下手にリークされてしまわないよう、地道に従業員の教育や情報秘匿の意識を醸成するのが重要です。

スポンサーリンク