ダイヤモンド社のビジネス情報サイト
萩原栄幸の情報セキュリティよもやま話

3割の企業がセキュリティ侵害を経験――情報セキュリティを軽視している企業の見分け方

萩原栄幸 [日本セキュリティ・マネジメント学会常任理事]
【第3回】 2013年3月14日
著者・コラム紹介バックナンバー
1
nextpage

 今回は先月発表された米データ・セキュリティ会社SafeNetによる企業における情報漏洩についての調査結果と対比して、日本企業のセキュリティに対する意識の現状と課題について、専門家としての私見を述べたい。なお、調査内容についてのComputerworldによる記事はこちら、日本法人によるリリースはこちらにあるので、参考にされたい。

31%が
「過去にネットワークセキュリティ侵害が発生したことがある」

 この調査の対象は「米国企業で働くセキュリティ専門家230人」で、その31%は「過去にネットワークセキュリティ侵害が発生したことがある」と回答している。10年以上ネット犯罪防止に携わってきた筆者の経験からすると、この数字は妥当な数字だと思われる。

 日本も同様な状況と推測しているが、日本国内において圧倒的に多い中小、零細企業では、この「ネットワークセキュリティの侵害が発生」という認知すらできていない場合が圧倒的に多い。米国調査でも20%が、「過去にセキュリティ侵害が発生したかどうかはっきりわからない」と答えているが、この最悪とも言える回答が日本の中小企業では本音部分で9割を超えるだろう。

 残念ながら、それがこれまでの経験を通じて実感してきた日本企業の現状だ。よくて「ログは取っています」というレベル。確かに「ログ(履歴)」は重要だが、それって「取っていればいいのか?」ということになるが、実は全く違うのである。

 「監督官庁がうるさいのでいつでも提出できるようにしています」。とある製造業の情報セキュリティ担当管理職の弁だ。……この考えこそ全くおかしい。

 例えて言えば、企業の経理部にある大きな金庫に監視カメラをつけた、というのがログを採取するのと同じことだ。でも……ログを取っているだけで、記録したものがそのまま別メディアに移され、圧縮され、10年保管の貸倉庫に入れておくことで何の役に立つだろうか?

 確かに監督官庁の指示に対応するということは速やかにできるだろう。しかし、金庫が不正に開けられ、たまたま現金が入ってなかったので、何も盗まれなかった場合、その行為自体は、画像をチェックするまで分からないままということでは問題だ。10年経って記録が廃棄されればそれっきりだ。

 ネットワークで「盗まれる」のは現金以上に貴重な「情報」(特許情報DB、顧客マスター、売上明細DBなど)だ。盗まれてもそれだけでは盗まれたという事実すら気が付かないものである。ログを日々分析していれば、少なくとも「盗まれた」という事実は分かる。また、ログ解析は結果として内部へ侵入した形跡やその試みを行なったということも分かってくる。だからログは「分析してなんぼ」の世界であり、決して「採取してなんぼ」の世界ではないのだ。

1
nextpage
スペシャル・インフォメーションPR
IT&ビジネス
関連記事
クチコミ・コメント
facebookもチェック

萩原栄幸 [日本セキュリティ・マネジメント学会常任理事]

(はぎわら えいこう)2008年6月まで三菱東京UFJ銀行にて先端技術の調査研究を職務とし、実験室「テクノ巣」の責任者として学会や金融機関を中心にセミナーやコンサルを行なう。現在は日本セキュリティ・マネジメント学会の常任理事であり学会の「先端技術・情報犯罪とセキュリティ研究会」で主査も兼務している。
防衛省、県警本部、県庁、市役所などの講演やコンサルも多数の実績を持ち、特に「内部犯罪防止」「情報漏洩対策」「サイバー攻撃対処」では第一人者であり一般的な「コンプライアンス」「情報セキュリティ」などにおいても平易に指導することで有名。


萩原栄幸の情報セキュリティよもやま話

クラウド、ソーシャル、モバイル、ビッグデータなど、経営環境をめぐる新たな技術革新が進展するにつれ、企業が対応しなければいけないセキュリティリスクも拡大を続けている。脅威から情報を守るために、ビジネスパーソンがおさえておくべきスキルや、組織におけるマネジメントが関心を持つべき新たな課題まで、「コンプライアンス」「情報セキュリティ」の第一人者が、やわらかく解説する。

「萩原栄幸の情報セキュリティよもやま話」

⇒バックナンバー一覧