Skype for Businessにおける個人情報、機密情報の漏洩対策

Skype for Business コンプライアンス ガード

フェアユース株式会社
2018/3/15

Confidential1当資料の要約Skype for Business Server / Onlineでは管理者に対して提供されているアーカイブ、インプレースホールド＆訴訟ホールドではログを取得することが出来ない利用パターンが明確に存在しています。（当資料6、7ページ参照）

このため情報漏洩の発生確認後でさえも、証左としてのログが存在せず、情報漏洩ルートを提示出来ないことが御座います。

Skype for Businessコンプライアンスガードでは全ての利用パターンのログを記録し、また疑わしいIMテキスト、ファイル転送が発生した場合に、IT管理者にアラート送信します。

2018/3/15

Confidential2

Skype for Business Server/Onlineの情報漏洩の危険性
Skype for Business Server / Onlineにはログ機能としてのアーカイブ、インプレースホールド/訴訟ホールドのログ機能はありますが、Skype for Businessの利用内容の全てのログの取得が可能ではありません。企業内での個人情報、機密情報の漏洩の危険性があります。
コンプライアンス違反
明日発表予定の決算報告書

社内

申請前の特許情報

社内

特定の個人の契約情報

社内でも本来は機密情報を閲覧できない立場のユーザ

全てのログが残るわけではなく、情報漏洩が発生しても追跡できないため問題の対応が出来ない。また監査に耐えられない。

2018/3/15

社内で機密情報を取り扱う立場のユーザ

ログが残っても問題発生後に該当のログを探す必要がある。
情報漏洩の危険性を残しながらの運用
3

外部接続利用時の危険性
外部接続（外部フェデレーション）を実施される場合、完全にログが残らない形で、ファイル内容の閲覧が可能になる利用パターンが明確に存在しています。
コンプライアンス違反
明日発表予定の決算報告書

外部接続

申請前の特許情報

外部接続

特定の個人の契約情報

社外ユーザ

社内で機密情報を取り扱う立場のユーザ

個人が無料もしくは安価にOffice365を契約しての利用が可能

外部ユーザは社内ユーザの会社名、組織名、名前、SIPアドレス、メールアドレスも取得できます。
2018/3/15

日本企業のほとんどが、この事実を知らずにSkype for Businessを運用しています。

Confidential

4Skype for Business コンプライアンスガードの特徴Skype for Business Server / Onlineのコンプライアンス機能では網羅していない利用パターンの全てのログ、スクリーンショット、録音の取得を行い、ユーザの利用を監視し続けます。
リアルタイムでIMのメッセージ内容、ファイル名の監視しつづけ、不適切な内容が発見された段階でIT管理者やコンプライアンス担当者にSkype for BusinessもしくはExchangeにてアラートします。
コンプライアンス違反
明日発表予定の決算報告書

社内

社内

申請前の特許情報
特定の個人の契約情報

外部接続
社内でも本来は機密情報を閲覧できない立場のユーザ

IM 不適切な表現

テキスト

社外ユーザ

IT管理者＆コンプライアンス担当者
Skype for BusinessもしくはExchange onlineでアラート受信

アラート
表示
Confidential

外部接続

社内で機密情報を取り扱う立場のユーザ

全データのログ保持5

Skype for Businessには、下記のような情報漏洩対策の限界があります。

 Office 365 Skype for Business Onlineの限界 インプレースホールドと訴訟ホールド機能では、問題の事実発生後に、日付、差出人ユーザ、受信ユーザ、キーワードを設定して該当するセッション（会話・会議）を検索・発見する必要があります。
 下記はインプレースホールドの対象外であり、トラックすることが出来ません。
 1対1（ P2P ）および会議の音声・映像通話 1対1（ P2P ）および会議のデスクトップの表示 / プログラムの表示 1対1（ P2P ）および会議のホワイトボード、投票、質疑応答
 1対1（ P2P ）でのファイルの送信（受信）したファイルの実体。
参照URL：https://blogs.msdn.microsoft.com/lync_support_team_blog_japan/2017/02/16/sfbo-archive/ Skype for Business Serverの限界 「アーカイブ」（保持）と呼ばれる機能があるもの下記各項目がアーカイブ（保持）されません。
 1対1（ P2P ）のファイル転送 1対1（ P2P ）のインスタント メッセージおよび会議の音声/ビデオ
 1対1（ P2P ）のインスタント メッセージおよび会議のアプリケーション共有
 会議のコメント※

参照URL： https://technet.microsoft.com/ja-jp/library/dn951419.aspx

上記内容は2017年4月23日時点の調査内容です。Online、Serverともアップデートにより上記の内容が改修される可能性があります。

Confidential

6Office 365 インプレースホールドでログが取得可能な範囲
会議#項目

Skype for Business Client

1対1（ P2P ）(社内）to（社内）、（社内）to (社外）

SfB Client（社内)WebApp（社内）to（社外）
可否

備考

可否

備考

1 IM テキスト

○

-

○

-

2 セッション参加者

○-

○

-

3 音声通話○セッション開始・終了時刻は記録可能○

セッション開始・終了時刻

4 ビデオ通話○セッション開始・終了時刻は記録可能○

セッション開始・終了時刻

5 ファイルの転送（送信）-6 デスクトップの表示✕

会議には当機能は存在しない。正確には「添付ファイ△ルの追加」が機能として存在している。
セッション開始・終了時刻は取得可能であるが、表示✕しているファイルのファイル名が取得不可
一切ログが残らない。制御を渡したユーザのPCの内部

7 デスクトップの表示の制御を渡す✕

ファイル名は取得可能であるが、ファイルの実体は残らない。
セッション開始・終了時刻は取得可能であるが、表示しているファイルのファイル名が取得不可
一切ログが残らない。制御を渡したユーザのPCの内部まで確認可能となり、制御を渡したユーザの権限で操✕作できてしまう。

まで確認可能となり、制御を渡したユーザの権限で操作できてしまう。

セッション開始・終了時刻は取得可能であるが、表示セッション開始・終了時刻は取得可能であるが、表示

8 プログラムの表示✕しているファイルのファイル名が取得不可✕

しているファイルのファイル名が取得不可

9 プログラムの表示の制御を渡す✕

一切ログが残らない。

✕

一切ログが残らない。

10 PowerPointファイルの表示○

ファイル名・ファイルの実体

11 添付ファイルの追加○

ファイル名・ファイルの実体

12 共有のメモ----13 個人のメモ----14 ホワイトボードの表示

△-

P２P無し

15 投票

△-

P２P無し

16 質疑応答○-

P２P無し

ファイル名は取得可能。ファイルの実体は暗号化されていてひらけない。
ファイル名は取得可能。ファイルの実体は暗号化されていてひらけない。
テキストファイルとして内容が保存される。

-P２P無し-1対1（ P2P ）には当機能は存在しない。正確には「ファイルの転送（送信）」が存在している。

参照： https://blogs.msdn.microsoft.com/lync_support_team_blog_japan/2017/02/16/sfbo-archive/
2018/3/15

Confidential

7Lync Server 2013のアーカイブ機能で取得可能なログ
会議
項目

Skype for Business Client

1対1（ P2P ）(社内）to（社内）、（社内）to (社外）

SfB Client（社内)WebApp（社内）to（社外）
可否

備考

可否

備考

IM テキスト○-○-セッション参加者

○-○

-

音声通話

✕

ビデオ通話

✕

ファイルの転送（送信）-デスクトップの表示✕

Microsoft社TechNetにて公開されている情報では✕不可。但し検証の必要あり
Microsoft社TechNetにて公開されている情報では✕不可。但し検証の必要あり
会議には当機能は存在しない。正確には「添付✕ファイルの追加」が機能として存在している。
セッション開始・終了時刻は取得可能であるが、✕表示しているファイルのファイル名が取得不可
一切ログが残らない。制御を渡したユーザのPCデスクトップの表示の制御を渡す✕✕可。但し検証の必要あり
Microsoft社TechNetにて公開されている情報では不可。但し検証の必要あり
Microsoft社TechNetにて公開されている情報では不可。但し検証の必要あり
Microsoft社TechNetにて公開されている情報では不可。但し検証の必要あり一切ログが残らない。制御を渡したユーザのPCの内の内部まで確認可能となり、制御を渡したユーザ✕の権限で操作できてしまう。
プログラムの表示

Microsoft社TechNetにて公開されている情報では不部まで確認可能となり、制御を渡したユーザの権限で操作できてしまう。

セッション開始・終了時刻は取得可能であるが、✕表示しているファイルのファイル名が取得不可

Microsoft社TechNetにて公開されている情報では不可。但し検証の必要あり

プログラムの表示の制御を渡す✕

一切ログが残らない。

PowerPointファイルの表示○

ファイル名・ファイルの実体

添付ファイルの追加○

ファイル名・ファイルの実体

共有のメモ

-

-

-

-

個人のメモ----

ホワイトボードの表示

△-

P２P無し

投票

△-

P２P無し

質疑応答

✕

-

P２P無し

ファイル名は取得可能。ファイルの実体は暗号化されていてひらけない。
ファイル名は取得可能。ファイルの実体は暗号化されていてひらけない。
Microsoft社TechNetにて公開されている情報では不可。但し検証の必要あり

参照： https://technet.microsoft.com/ja-jp/library/dn951419.aspx
黄色の部分はOffice365 Skype for Business Onlineとの差異✕-

一切ログが残らない。
P２P無し

-

1対1（ P2P ）には当機能は存在しない。正確には「ファイルの転送（送信）」が存在している。

8

Skype for BusinessのIM（テキストメッセージ）およびファイル転送を全てリアルタイムに監視、問題となるキーワード、ファイル名が送受信された時点でアラートを管理者に通知します。
 キーワードを設定するだけです。

 IM（テキストメッセージ）でやり取りされてはいけないキーワードを設定。
 Skype for Businessでの共有を禁止するファイル名に含まれるキーワードを設定します。
※ ファイルの中身をスキャンする場合は別途見積もりとさせていただきます。

 全てのテキストメッセージ、ファイル転送、共有情報をリアルタイムでトラックします。
 当システムは一般ユーザに知られることなく、全てのIM （テキストメッセージ）、ファイル転送の内容をトラックし続けます。
 共有されたファイル名を全て取得することが可能です。
※ ファイルの実体を保存する場合は別途御見積とさせていただきます。

 ビデオ通話、デスクトップ表示、プログラムの表示、PowerPointファイルの表示、ホワイトボードの表示がされている最中1分に１回、ランダムにスクリーンショットを取得し続けます。
 音声通話とビデオ通話がされている最中、10分間に30秒、ランダムに録音を行います。

 アラートの発生

 Skype for Business、Exchangeの機能を利用して禁止キーワードが発生した時点でIT管理者にアラートを送信します。
※ またスクリーンショット、録画情報、録音情報を任意のSQLサーバにアップロードさせることが可能です。別途見積もりとさせていただきます。

2018/3/15

Confidential9

ログ取得もしくは保存できる内容


ログの対象












音声ファイルの取得（保存）の対象





音声通話
ビデオ通話
 10分間に30秒、ランダムに録音
 VoiceRecordingのファイル名：Tarou
Yamada(sip:demo@fairuse.jp)_yyyyMMdd_hhmmss_yyyyMMdd_hhmmss.wav※アップロードしている本人のDisplayNameとログインID

スクリーンショットの取得（保存）の対象






※

デスクトップの表示
アプリケーションの表示
PowerPointの表示
ホワイトボード
添付ファイルの追加（ファイルの送信）
その他(ホワイトボード、投票、質疑応答）（IM上からの）ファイルの送信
音声通話
ビデオ通話

ビデオ通話
デスクトップ表示
プログラムの表示
PowerPointファイルの表示
ホワイトボードの表示
投票
質疑応答 1分に１回ランダム スクリーンショットのファイル名： Tarou Yamada(sip:demo@fairuse.jp)_yyyyMMdd_hhmmss.png※送信者のDisplayNameとログインID

上記は全てハードコーディングでOn/Offの設定が可能です。つまり、各企業ごとに必要なログの取得だけを実施します。

2018/3/15

Confidential

10PowerBIを用いたログ内容のインターフェース①
MicrosoftのPowerBIを用いてログ表示を行うことも可能です。

2018/3/15

Confidential11PowerBIを用いたログ内容のインターフェース②

2018/3/15

Confidential

12PowerBIを用いたログ内容のインターフェース③

2018/3/15

Confidential

13PowerBIを用いたログ内容のインターフェース④

2018/3/15

Confidential

14

Skype for Business WebAppにおける問題点

 Skype for Business WebAppの参加者管理の問題点

 会議URLを送信して開催の場合、不特定多数が参加出来てしまいます。
外部接続（外部フェデレーション）を認めている場合は、外部の不特定多数のユーザが参加出来てしまいます。
外部接続にて仮想ロビー上にて、主催者が承認する場合でも、参加者の身元を特定することが困難です。
社内でも会議URLを知ったユーザが任意で参加することが可能になります。

 Skype for BusinessにないCisco社のWebExの利点

 運用上、会議参加者を事前に登録し、その参加者に対してメールを送信して参加を促すことが可能です。

 コンプライアンスガード 参加者チェック機能 弊社のコンプライアンスガードでは、事前に登録されたユーザ以外の参加者を制限することが可能です。参加した場合には会議から自動的に追い出します。（2018年6月末リリース予定：オプション機能ライセンス購入が必要）

2018/3/15

Confidential

15

弊社紹介

2018/3/15

Confidential

16

弊社紹介
1.

弊社代表の足立洋介がMicrosoft MVPをOffice Server and Services分野にて受賞。

※Microsoft MVPとはMicrosoft社外で最も優れたエンジニアに表彰される称号です。
※Office Server and ServicesはOffice 365、Exchange、SharePoint、Skype for Business(Lync)の製品群を指します。

2.

Microsoft社のLyncに関する国内最大のイベントLync Interact Japan2014にて弊社製品のWork Time Recorderがメインセッションにて紹介を受ける。

http://www.microsoft.com/ja-jp/lync/interact/default.aspx

3.

ワークスタイル変革 Day 2014のMicrosoft社の「ワークスタイル変革」への取り組みのセッションにて弊社の製品Lync IoTの紹介をいただく。

http://www.ric.co.jp/expo/wsd2014/program.html

4.

Microsoft社の製品を取り扱う大手Sierばかりが一同に会するクローズドなイベントである
Lync Partner Dayのジェネラルセッションにて弊社代表の足立洋介が講演の機会をいただく。

http://www.slideshare.net/adachiyosuke/lync-developerday20145.

2017年5月23日、24日開催のMicrosoft社の開発会社、SIer向けのイベントである
de:codeにて、日本マイクロソフトのマーケティング部門の御依頼により、ブース出展とセミナーでのデモをいただくことが確定。（ブース出展は通常はスポンサー料金が必要であるが、弊社だけ特別御協力出展。）

https://www.microsoft.com/ja-jp/events/decode/2017/2018/3/15

Confidential

17

弊社概要
 フェアユース株式会社概要

 2010年11月に会社設立
 代表取締役 足立洋介
 SharePoint のiOS、Androidアプリである「ShareOffice」の販売
 Skype for BusinessのAPIを利用したWindows、iOSアプリ開発
 iOS、Android、WindowsStoreアプリ等の受託開発

 主要顧客企業

 KDDI株式会社
 日本マイクロソフト株式会社
 株式会社ミルボン 株式会社内田洋行(販売代理店様）
 株式会社富士通エフサス(販売代理店様）
 株式会社日立ソリューションズ(販売代理店様）
 NECネッツエスアイ株式会社✓ 御陰様で直接取引をさせていただく東証一部上場企業が30社以上となりました。

 連絡先

 電話：03-6868-3223
 FAX ： 03-6869-1184
 メールアドレス：contact@fairuse.jp
 URL: http://www.fairuse.jp/
 住所：〒151-0073 東京都渋谷区笹塚2-19-3 大成ビル5F

2018/3/15

18

主要製品の紹介•

ShareOffice– SharePoint、SharePoint OnlineのiPhone、iPad、Androidのネイティブアプリ
– iOS、Android、WindowsStoreの各種プラットフォーム対応– 日本の大企業のセキュリティポリシー、ネットワークに適応するカスタマイズが可能– http://www.fairuse.jp/shareoffice/•IoT Bot for Skype for Business– Skype for Business上のBotが様々な質問に答えてくれます。
– Lync SDKを利用した開発– http://www.fairuse.jp/download/IoTBot.pdf•Work Time Recorder– テレワーク、在宅勤務向けのソリューション
– Lync SDKを利用した開発– http://www.fairuse.jp/download/worktimerecorder.pdf

2018/3/15

19

2018/3/15

Confidential20