組織で働く人間による不正・事故は止められるのか？
～「内部不正対策14の論点」発売記念セミナー～

内部不正はセキュリティ製品で防げるか？
～CIOの内部不正という極論で考えてみる対策の効果～
2015年9月9日
株式会社日立ソリューションズ

武田 一城© Hitachi Solutions, Ltd. 2015. All rights reserved.

Contents
１. 自己紹介
２．内部不正はセキュリティ対策で防げるか？
３. CIOの内部不正は防げるのか？
４. まとめ© Hitachi Solutions, Ltd. 2015. All rights reserved.

1１．自己紹介© Hitachi Solutions, Ltd. 2015. All rights reserved.

2１．自己紹介株式会社 日立ソリューションズ
兼： 日本PostgreSQLユーザ会 理事

武田 一城 （1974年 千葉県生まれ）
情報セキュリティ、システムプラットフォーム他の分野でのマーケティング戦略立案や各種プロモーションの企画を担当。
（オープンソースやBCP、最近トレンドの教育ICTなど・・・、節操なく色々とやってます）

つまり、もちろん研究者でもなければ、セキュリティ技術者ですらありません。
© Hitachi Solutions, Ltd. 2015. All rights reserved.

3１．自己紹介
ただ、ここ数年でいろいろな場でお話や⽂章を書かせていただく機会が多くなってきたこともあって、以下のような活動をさせてもらっています。

Webメディアへの寄稿
講演活動
執筆活動
・・・あまり他に居ないのでニッチなニーズがあるみたいです。
© Hitachi Solutions, Ltd. 2015. All rights reserved.

4１．自己紹介 （教育ICT分野の寄稿）
1. 今、理解しておきたい「学校IT化の現実」
TechTaegetJapan・ 教室のIT化で⾒落としがちな「5つの落とし⽳」とは？
・ 学校IT化を本気で成功させる「グランドデザイン」の作り⽅
2. 失敗しない「学校IT製品」の選び⽅
・ 学校無線LANの「つながらない」「危ない」は“正しい理解”で解消できる（無線LAN/前編）
・ 学校無線LAN選びを本気で成功させる「4つの視点」（無線LAN/後編）
・ 学校IT化の“無法地帯”を⼀掃する「シンクライアント」の威⼒（シンクライアント/前編）
・ 学校のシンクライアント導⼊がうまくいかない「４つの理由」（シンクライアント/中編）
・ ChromeBookも有効「シンクライアントは⾼すぎる」という学校への代替策（シンクライアント/後編）
・ 「⽬隠し型セキュリティ」は⼦どもをダメにする（セキュリティ/前編）
・ LINEを悪者扱いする前に「情報モラル」を学ぶべき（セキュリティ/中編）
先⽣のための初級ICT教育講座

ICT教育ニュース・ 教育ICTの本格普及の前にやるべき情報セキュリティ対策・ 武南学園の中⾼⼀貫新設校で⾒た“未来の学校”© Hitachi Solutions, Ltd. 2015. All rights reserved.

5１．自己紹介 （セキュリティ分野の寄稿）
IT media
エンター
プライズ

⽇本型セキュリティの理想と現実 （隔週でのweb連載）
・ セキュリティインシデントが繰り返される理由
・ 戦国ファンならわかる？ 城郭の変遷とセキュリティ環境
・ 「進撃の巨⼈」で理解する多層防御
・ 常時接続から始まったセキュリティ対策の無間地獄
・ 利便性 vs 安全性 交通安全に学ぶセキュリティの⾏⽅

この縁でお話させていただくことになりました

日本ネットワークセキュリティ協会（JNSA）
組織で働く人が引き起こす不正事故対応ワーキンググループ 著

書籍「内部不正はセキュリティ製品で防げるか？」

11人の共著

Amazon.co.jp
セキュリティ管理部門1位

出版記念セミナー in品川

（おかげ様で満席）（8/5時点の瞬間値）© Hitachi Solutions, Ltd. 2015. All rights reserved.

6１．自己紹介

本日は、セキュリティ分野のマーケティング活動の経験と視点からの内部不正対策のお話をさせていただきます。
© Hitachi Solutions, Ltd. 2015. All rights reserved.

7

２. 内部不正はセキュリティ製品で防げるか？

© Hitachi Solutions, Ltd. 2015. All rights reserved.

8

２．内部不正はセキュリティ製品で防げるか？
連⽇のようにサイバー攻撃による被害のニュースがメディアで報道されています。そのため、セキュリティ対策の予算も右肩上がりで拡⼤しています。
セキュリティ投資額（2012-2014）
増やすほぼ同額

減らす

セキュリティ対策にはコストをかけている！

「もしかしたら内部不正にも有効かも？」

無回答

2.7%

3.8%

0.3%

16.6%

11.6%

14.1%

47.7%

48.0%

33.2%

36.9%

37.6%

2012年

2013年

2014年

47.5%

【出典】企業における情報セキュリティ実態調査/NRIセキュアテクノロジーズ© Hitachi Solutions, Ltd. 2015. All rights reserved.

9２．内部不正はセキュリティ製品で防げるか？

あらためまして・・・。

内部不正はセキュリティ製品を導入すれば防げるか？

© Hitachi Solutions, Ltd. 2015. All rights reserved.

10

結論：

ほとんど無理© Hitachi Solutions, Ltd. 2015. All rights reserved.

11２．内部不正はセキュリティ製品で防げるか？

外部からの攻撃の標的型攻撃（APT）より内部不正の対策ははるかに大変だから！

外部攻撃＜内部不正© Hitachi Solutions, Ltd. 2015. All rights reserved.

12２．内部不正はセキュリティ製品で防げるか？

終わりという訳にも行かないのでもう少し続けます・・・。
© Hitachi Solutions, Ltd. 2015. All rights reserved.

13

２．内部不正はセキュリティ製品で防げるか？

QuestionⅠ

一般的なセキュリティ製品の目的は何でしょうか？
© Hitachi Solutions, Ltd. 2015. All rights reserved.

14

２．内部不正はセキュリティ製品で防げるか？

Answer

外部の攻撃から内部の重要なものを守れる構造を作る© Hitachi Solutions, Ltd. 2015. All rights reserved.

15

２．内部不正はセキュリティ製品で防げるか？

攻撃

危険な外部

＜代表的なセキュリティ製品＞

ファイアウォール
（ゲートウェイの扉/防火壁）

安全な場所

IDS/IPS（≒内部）（不正侵入検知/防御）

アンチウィルスソフト（ウィルス・マルウェアの侵入を防ぐ）

攻撃

攻撃© Hitachi Solutions, Ltd. 2015. All rights reserved.

16

２．内部不正はセキュリティ製品で防げるか？

防御壁をつくることによって、内部の安全地帯に攻撃者を入れないようにする防御思想

オンプレミス？

クラウド？

一戸建てやマンションに塀を立てたり鍵をかけることと同じ© Hitachi Solutions, Ltd. 2015. All rights reserved.

17

２．内部不正はセキュリティ製品で防げるか？
これが一昔前のセキュリティ対策の常道境界防御と言います© Hitachi Solutions, Ltd. 2015. All rights reserved.

18

２．内部不正はセキュリティ製品で防げるか？

⼤きく⾵向きが変わったのが・・・

２０１１年
高度な対策を駆使し尽しているはずの国内の防衛産業の複数社からの情報漏えいが明らかになった© Hitachi Solutions, Ltd. 2015. All rights reserved.

19

２．内部不正はセキュリティ製品で防げるか？

一般企業とは別次元の高度なセキュリティ対策をしていたにもかかわらず、侵入された。
内部は安全という前提が崩壊© Hitachi Solutions, Ltd. 2015. All rights reserved.

20

２．内部不正はセキュリティ製品で防げるか？

危険な外部
どんな堅固な壁を築いても安全な場所（≒内部）

安全な場所は無くなった© Hitachi Solutions, Ltd. 2015. All rights reserved.

21

２．内部不正はセキュリティ製品で防げるか？

その結果、多層防御という考え方が一般化した！

×
DNS

www

Proxy

www

攻撃者が目的達成する途中の段階で対策ができる（内から外への対策）

mail

多層防御構造（攻撃者が重要情報に辿り着くまでの時間を稼ぎ）

監視・管理（攻撃者の痕跡をつかむ）© Hitachi Solutions, Ltd. 2015. All rights reserved.

22

２．内部不正はセキュリティ製品で防げるか？

内部不正はセキュリティ製品を導入すれば防げるか？

ほとんど無理（外部からの攻撃より内部不正の対策ははるかに高度！）抑止効果と予兆検知（多層防御構造と痕跡を見つける監視・管理体制が必須！ただし、防止というまでの効果は疑問）© Hitachi Solutions, Ltd. 2015. All rights reserved.

23

２．内部不正はセキュリティ製品で防げるか？

内部不正の防⽌とまで⾔い切れる対策は難しいものの・・・。
セキュリティ
対策製品

抑止
一定の効果をあげる
ことは充分に可能
セキュリティ対策製品

セキュリティ対策製品

セキュリティ対策製品

セキュリティ対策製品

予兆検知

セキュリティ対策製品© Hitachi Solutions, Ltd. 2015. All rights reserved.

24そして、少しだけ朗報なのは・・・© Hitachi Solutions, Ltd. 2015. All rights reserved.

25

２．内部不正はセキュリティ製品で防げるか？

次世代型ファイアウォール（ネットワークを通るアプリケーションの可視化）攻撃手法が巧妙化

セキュリティ対策製品もサンドボックスそれなりに進化していること（未知のマルウェア解析）

ログ解析

セキュリティ製品も進化

内部不正にも一定の効果（ビッグデータ技術の応用/膨大なログ収集と解析が可能）© Hitachi Solutions, Ltd. 2015. All rights reserved.

26つまり、外部からの攻撃が巧妙化して、攻撃者が内部に入られてからの対策をしなければならない必要に迫られた結果・・・

内部不正対策としても効果を持つようになった© Hitachi Solutions, Ltd. 2015. All rights reserved.

27

３．CIOの内部不正は防げるか？

© Hitachi Solutions, Ltd. 2015. All rights reserved.

28

３．CIOの内部不正は防げるか？

情報に関する最高責任者のCIOが、万が一にも内部不正をしたら・・・というのを思いついたので、「仮定の話」として考えてみました。

あくまで極論としての一考察です。
© Hitachi Solutions, Ltd. 2015. All rights reserved.

29

３．CIOの内部不正は防げるか？

ここに登る感じ・・・

つまり、ただでさえ難易度の高い内部不正対策のハードルをさらに、めちゃくちゃ上げてみた！
© Hitachi Solutions, Ltd. 2015. All rights reserved.

30

ちなみに副題にしてしまったことに7

後悔はありません（副題公開は資料作成前の 月）

でも、20分で話せる内容でもなかった・・・。

© Hitachi Solutions, Ltd. 2015. All rights reserved.

31

３．CIOの内部不正は防げるか？

Question２

ＣＩＯとはなにか？

© Hitachi Solutions, Ltd. 2015. All rights reserved.

32

３．CIOの内部不正は防げるか？

ＣＩＯ 【Ｃｈｉｅｆ Ｉｎｆｏｍａｔｉｏｎ Ｏｆｆｉｃｅｒ】 ：最高情報責任者
CIOとは、企業内の情報システムや情報の流通を統括する担当役員。
「最⾼情報責任者」「情報統括役員」などと訳される、企業の情報戦略のトップである。元は⽶国の企業で⽤いられていた呼び名だが、情報戦略に注⽬が集まるにつれて⽇本でも採⽤する企業が増えつつある。情報システムの構築や運営に関する技術的な能⼒だけでなく、そうして得られた情報を基にCEO（最⾼経営責任者）ら経営陣に対して適切な報告・助⾔を⾏うことも求められ、経営戦略に関する深い理解と能⼒も必要とされている。
【出典】IT用語辞典：e-word

経営視点からＩＴの最高責任を持つ役員（１９９０年あたりに米国では役割も定まる。驚くことに米国のＣＩＯはＩＴ部門出身は既に少数派らしい・・・）© Hitachi Solutions, Ltd. 2015. All rights reserved.

33

３．CIOの内部不正は防げるか？

だから、優秀なＣＩＯであればセキュリティ対策と共に内部不正のリスクを低減するためにさまざまな対策をするはず・・・© Hitachi Solutions, Ltd. 2015. All rights reserved.

34

３．CIOの内部不正は防げるか？

内部犯⾏の低減するためのポイントにも詳しく・・・。
１．ＴＢＰのポリシーと処理手順を理解すること
２．アクセスが許可されたＩＰをモニターすること
３．アクセス権限を管理すること
４．ＴＢＰの人事ポリシーと処理手順を理解すること
５．職場で起こるネガティブな問題点を予測し、管理すること
６．アクセス権限を削除した際、システム上でも確実に実施すること
７．責務の分離も強化すること
８．情報を保護する責任がＴＢＰにもあることを、明確に契約に記述すること※ＴＢＰ：委託先の業者やコンサルタントなど【出典】ＩＰＡ：組織内部者の不正行為によるインシデント調査© Hitachi Solutions, Ltd. 2015. All rights reserved.

35

３．CIOの内部不正は防げるか？

内部犯⾏予防策の５分類も実践できてしまう！
（25の対策）犯行を難しくする

捕まるリスクを高める

犯行の見返りを減らす

犯行の挑発を減らす

犯罪を容認する
言い訳を許さない

犯⾏対象を防御的に強化する

監視者を増やす

標的を隠す

欲求不満やストレスを減らす

規制を決める

施設への出⼊りを制限する

⾃然監視を補佐する

対象を排除する

対⽴を避ける

指⽰を掲⽰する

出⼝で検査をする

匿名性を減らす

所有物を特定する

感情の⾼ぶりを抑える

良⼼的に警告する

犯罪者をそらす

現場管理者の利⽤市場を阻⽌する仲間からの圧⼒を緩和する

遵守を補佐する道具や対抗⼿段を制御する

フォーマルな監視体制を強化する

利益を否定する

模倣班を阻⽌する

薬物・アルコールを規制する【出典】ＩＰＡ：組織内部者の不正行為によるインシデント調査 状況的犯罪予防（ＩＴセキュリティ対策版）© Hitachi Solutions, Ltd. 2015. All rights reserved.

36

３．CIOの内部不正は防げるか？

もちろん、ＩＰＡ作成の組織における内部不正防止ガイドラインも熟読しているだろうし・・・
これが何かと⾔うと・・・

宣伝です！
© Hitachi Solutions, Ltd. 2015. All rights reserved.

37

３．CIOの内部不正は防げるか？

多彩な論点で内部不正について語っている良書なんかも読んでしまう。
あからさまな宣伝です！
（買ってね）
これも何かと⾔うと・・・© Hitachi Solutions, Ltd. 2015. All rights reserved.

38だから、万全です

３．CIOの内部不正は防げるか？

© Hitachi Solutions, Ltd. 2015. All rights reserved.

39

３．CIOの内部不正は防げるか？ということには，なかなかならないと思います© Hitachi Solutions, Ltd. 2015. All rights reserved.

40

３．CIOの内部不正は防げるか？

従業員の内部不正より様々な権限が集中する責任者の対策は、はるかに範囲が広く大変だから！

外部内部＜
攻撃
不正

CIOの＜内部不正© Hitachi Solutions, Ltd. 2015. All rights reserved.

41

３．CIOの内部不正は防げるか？

問題①

アクセス制限/特権ＩＤ© Hitachi Solutions, Ltd. 2015. All rights reserved.

42

３．CIOの内部不正は防げるか？

【アクセス制御】●ユーザＩＤ/パスワード以外の要素も組み合わせる（多要素制御）●職務分掌に基づき必要な権限のみを厳密に付与（職務分掌）【特権ＩＤ管理】●一般ユーザと同様にＯＳとは独立した特権的ＩＤの制御（特権の制御）●特権ＩＤを有する個人を特定する仕組み（ログイン制御）

これらの厳密な対策をしたとしても・・・。

ＣＩＯは別格（？）© Hitachi Solutions, Ltd. 2015. All rights reserved.

43

３．CIOの内部不正は防げるか？

問題②離職の問題© Hitachi Solutions, Ltd. 2015. All rights reserved.

44

３．CIOの内部不正は防げるか？

内部不正と離職は、ものすごくなかよし！
© Hitachi Solutions, Ltd. 2015. All rights reserved.

45

３．CIOの内部不正は防げるか？
海外鉄鋼大手P社への国内鉄鋼大手の技術流出

方向性電磁鋼板と呼ばれる高機能鋼板の製造技術を元従業員が、海外の競合企業へ流出させる。

1,000億円の損害賠償訴訟の事案①図面データを不正持ち出し
国内鉄鋼大手世界へ
P社
工場

②

退職

④高機能鋼板を製造

技術情報を持ち出した後に計画的に離職

具体例①③製造技術を開示
海外鉄鋼P社© Hitachi Solutions, Ltd. 2015. All rights reserved.

46３．CIOの内部不正は防げるか？

競合企業の関連会社の役員に就任するために離職

具体例②

国内大手プレス機械メーカの技術情報流出

図面データ258点を元従業員が、競合関係にある中国企業へ機密情報を流出させる。
⑤郵送
社内サーバ

競合企業
技術提携関係②図面データをダウンロード①図面データを依頼④ＣＤを渡す

③

退職
③

ＣＤに複製

退職

別会社の役員に就任
出典：近事の技術流出事例への対処と技術流出の実態調査について（経済産業省 知的財産政策室）© Hitachi Solutions, Ltd. 2015. All rights reserved.

47

３．CIOの内部不正は防げるか？

まさか、ＣＩＯが離職する可能性は低い？

© Hitachi Solutions, Ltd. 2015. All rights reserved.

48

３．CIOの内部不正は防げるか？

海外のＣＩＯの平均的な在職期間

米国：約２４ヶ月程度
英国：約３８ヶ月程度

⽶国：ＥＤＳ調査による/英国ＦＴＳＥ350企業が対象

海外ＣＮＥＴニュース(2007年8⽉)

海外では２～３年でＣＩＯが交代する（一般に雇用の流動性が高いとされる中国の平均在籍期間でも３４ヶ月<ＬｉｎｋｄＩｎ調べ>）© Hitachi Solutions, Ltd. 2015. All rights reserved.

49

３．CIOの内部不正は防げるか？

５年４ヶ月

それは海外の話で日本では違うよね？

日本のＣＩＯの平均在職期間（ＣＩＯ Ｍａｇａｚｉｎｅ Ｏｎｌｉｎｅ ２０１２年読者アンケート）© Hitachi Solutions, Ltd. 2015. All rights reserved.

50

意外と短期間！

３．CIOの内部不正は防げるか？

ＣＩＯであっても⼈間。悪意をもって事前に周到に準備されて離職後の対策を事前に施すことは非常に難しい
短期間で辞めちゃうなら、なおさらね・・・。

© Hitachi Solutions, Ltd. 2015. All rights reserved.

51

４．まとめ© Hitachi Solutions, Ltd. 2015. All rights reserved.

52

４．まとめ

それは海外の話で日本では違うよね？

内部不正は、システムよりも脆弱な人間の対策。
だから、絶対的な対策をすることは非常に難しい。

（抑止と予兆検知は、対策として有効性がある）© Hitachi Solutions, Ltd. 2015. All rights reserved.

53

４．まとめ

ただ、内部不正対策を「従業員の不正に対処する」と言うと、監視されているようで誰しも気持ちがよくない。

「従業員を守るために備える」と言えば、前向きに聴こえる！

© Hitachi Solutions, Ltd. 2015. All rights reserved.

54

４．まとめ内部不正対策に最も重要なことは？
「対策は非常に難しい」で終わるとまずかろうと、無理にまとめた訳ではありません・・・。
© Hitachi Solutions, Ltd. 2015. All rights reserved.

55

４．まとめ最高の内部不正対策は人に愛情も持って接すること？

こういう意識を常に持つことが実はもっとも重要（かもしれません）© Hitachi Solutions, Ltd. 2015. All rights reserved.

56

END
内部不正はセキュリティ製品で防げるか？
～CIOの内部不正という極論で考えてみる対策の効果～

株式会社 日立ソリューションズ

武田 一城© Hitachi Solutions, Ltd. 2015. All rights reserved.