事例から考える、IT内部不正の現状と対応

白濱 直哉
2015年5月22日

サイバーリスクに関する豊富な経験があります
自己紹介
監査法人系 リスクコンサルティング会社 シニアマネジャー
東京電機大学 国際化サイバーセキュリティ学特別コース 外部講師
大手情報セキュリティ会社を経て、監査法人系のリスクコンサルティング会社に入社。
大学を卒業して17年間、⼀貫してサイバーセキュリティ関連のコンサルティング業務に携わる。
現在は、様々な業種に対して、技術的なセキュリティ対策支援やインシデント対応、組織の事業継続やレギュレーション対応という観点からのサイバーリスク対応支援を⾏っている。
 内部不正関連の業務経験
 不正アクセスや情報漏洩調査
 eDiscovery支援
 不正会計、インサイダー、反社取引（データ保全や分析等、IT調査の支援）
本資料および講演内容の意⾒に関する部分は私⾒であり、所属する法⼈の公式⾒解ではありません。
2 第19回 サイバー犯罪に関する白浜シンポジウム

アジェンダはじめに
内部不正とは不正の事例と対策対策のまとめ
不正発⽣時の対応（少しだけ）

はじめに

不正が発⽣する会社ってどんなんなんでしょう
本日お話したいこと1

公開されている内部不正は氷⼭の⼀⾓

2

誰もが不正⾏為者になりうる
しかし、簡単に防げる内部不正はごまんとある3

本気の内部不正に対する対策は⾮常に困難
発⾒する仕組みが重要

5 第19回 サイバー犯罪に関する白浜シンポジウム

内部不正は対岸の火事か
内部不正対策を阻害する組織の認識
不正を⾏う
職員はいない漏洩して困る情報はない

対策は万全である

不正が発⽣した組織でさえ、「みなショックを受け⼼を痛めている。同様のことを起こなさないと全員から一筆もらったので大丈夫」との認識。
組織として活動をしているのであれば、必ず何かしらの価値ある情報があるはずです。また、組織に対する活動妨害を目的に不正を⾏う可能性もあります。
内部不正対策はその特徴から、標的型攻撃よりも対策も発⾒も困難と⾔えます。実効性のある対策が⾏われているか、内部に攻撃者がいるという前提で確認することが重要です。

このような認識の組織が多いのが現実
6 第19回 サイバー犯罪に関する白浜シンポジウム

内部不正とはなぜ、不正が発⽣するのか不正発⽣の要因となる３要素

機会

動機

正当化

不正のトライアングル

8 第19回 サイバー犯罪に関する白浜シンポジウム

機会

不正が可能な環境
 内部統制の不備、形骸化
 権限管理の不備
 システムの脆弱性、未監視

動機

不正を働くきっかけ
 個人的な経済問題
 プレッシャー 待遇への不満正当化

不正を正当化する理由
 会社が悪い みんなやってる バレない、お⾦は返す「内部不正」の「内部」の定義はさまざまあります・・
内部の定義

内部

 物理セキュリティの内側へ⽴ち⼊る、テンポラリでない権限を有する人
 一般公開していない情報システムにIPリーチャブルな、テンポラリでない権限を有する人
 役職員
 常駐しているシステム開発や運用等の人
 派遣社員 等
 上記以外その他

 組織と契約関係のない、第三者
 テンポラリで入室する業者
 過去に契約があった者（退職者等） 等

特定のシステムや情報へのアクセス権は無関係
9 第19回 サイバー犯罪に関する白浜シンポジウム

不正といってもいろいろあります・・
不正の分類
不正

汚職利益相反資産への不正

贈収賄

資⾦関連

⾮資⾦関連

• 資産の横領等• 情報漏洩
• 情報毀損• 知的財産流⽤等

不正報告

財務関連

非財務関連

本講演での不正参考：⽇本公認会計⼠協会「不正調査ガイドライン」
ACFE 「2012年度版 職業上の不正と濫⽤に関する国⺠への報告書」 職業上の不正と濫⽤
10 第19回 サイバー犯罪に関する白浜シンポジウム

不正の体系図不正を⾏う⼈もいろいろあります・・
不正⾏為者の分類（検討中）

不正⾏為者

悪意

能動的

11 第19回 サイバー犯罪に関する白浜シンポジウム

善意

受動的

本講演では、IT内部不正の定義

 組織内の情報システムにIPリーチャブルな者が、
 契約期間中に、 情報・情報システム資産に対して、 故意に、 法令・コンプライアンス違反を⾏うこと。

12 第19回 サイバー犯罪に関する白浜シンポジウム

タイプ別の事例と対策

根っからの悪者が犯す不正は全体の30％弱！？（白濱調べ）
タイプ別不正⾏為者の概要① 善意の不正⾏為者

概要割合

 「悪いこと」「不正である」という認識がない状
態で、不正を実⾏する者

10％弱

 「良いことをしている」と思っている⼈もいる② 悪意のある、受動的不正⾏為者

 「機会」を認識したがために、「動機」や「正当性」が⽣まれ、不正を実⾏する者③ 悪意のある、能動的不正⾏為者

 「動機」を満たすために、積極的に「機会」を探し、不正を実⾏する者

 「悪いこと」「不正である」という認識はある 「正当性」による⻭⽌めは利かない

14 第19回 サイバー犯罪に関する白浜シンポジウム

60％強

30％弱

不正の認識がない⾏為でも内部不正に該当するケースがあります① 善意の不正⾏為者の事例
出向職員による出向元への情報漏洩
 概要
親会社に出向した子会社職員が、親会社の営業秘密を子会社の上司にメールで送信していた。
過去何年にもわたって慣例的に⾏われていた⾏為であり、出向者は前任の担当者から引継ぎ、当たり前のこととして⾏っていた。

機会

情報へのアクセスやメール送信が可能であり、監視も⾏わ
れていない

動機

情報を送るものだと思っていた（指示されていた）正当化

正当化の必要はない（契約違反の認識がない） 発⾒の経緯
メールログの分析

15 第19回 サイバー犯罪に関する白浜シンポジウム

「悪意がなければ問題がない」と思い実⾏するケースがあります① 善意の不正⾏為者の事例
⾃宅に送信したクライアントの情報が漏洩
 概要
システム開発を請け負う会社の職員が、自宅で作業をするため、クライアントから受領した情報等を⾃宅に送信し、送信した情報が漏洩した。
 発⾒の経緯
クライアントがプロジェクト名でWeb検索

16 第19回 サイバー犯罪に関する白浜シンポジウム

機会

情報へのアクセスやメール送信が可能であり、監視も⾏われていない

動機

⾃宅で仕事がしたかった（高評価がもらいたかった）

正当化

人一倍ガンバっているのだか
ら、問題ではないいますぐ出来る対策で、内部不正が10％減るかもしれません① 善意の不正⾏為者の対策
機会

情報へのアクセスやメール送信が可能であり、監視も⾏われていない

 適切な内部統制の構築（リスク分析等を⾏い、どこにどのようなリスクが潜在し、どのような影響可能性があるか認識し、対策する）

動機 情報を送るものだと思っていた ⾃宅で仕事がしたかった 情報取扱ルールや契約、コンプライアンスの再確認・教育 事例等による教育正当化

 正当化の必要はない
 人一倍ガンバっているのだから、問題ではない

 倫理教育悪意のない不正⾏為者には、教育が効果的
17 第19回 サイバー犯罪に関する白浜シンポジウム

内部統制の不備が不正の動機の引き⾦になるケースは多いです② 受動的な不正⾏為者の事例
残業データを変更し、⾃⾝の給与を増額
 概要
人事部給与担当者が、毎月集計される残業時間数が入った残業データファイルを書き換え、残業⼿当を横領した。

機会

業務⼿続およびシステム権限管理（内部統制）の不備であり、本⼈は結婚を控えており、内部統制に不備がなければ⼀⽣このようなことはしなかった可能性もある。

残業データにアクセスができ、誰もチェックしていないことを知っていた動機

お⾦が欲しかった

正当化

オレだってガンバってのに、みなの方がもらってる。
絶対バレないし！

 発⾒の経緯
給与計算をしている委託先の直感

18 第19回 サイバー犯罪に関する白浜シンポジウム

適切な内部統制の構築および⾵通しのよい環境で内部不正の⼤半はなくなるかもしれません② 受動的な不正⾏為者の対策
機会

 適切な内部統制の構築
残業データにアクセスができ、（リスク分析等を⾏い、どこにどのようなリス誰もチェックしていないことクが潜在し、どのような影響可能性があるか認を知っていた
識し、対策する）

動機

お⾦が欲しかった 情報取扱ルールや契約、コンプライアンスの再確認・教育 事例等による教育正当化

オレだってガンバってのに、みなの方がもらってる。
絶対バレないし！

 倫理教育内部不正による情報漏洩も同じです
19 第19回 サイバー犯罪に関する白浜シンポジウム

自己中心的で善悪の区別もつかない人も、世の中にはいます③ 能動的な不正⾏為者の事例
退職後に会社のシステムが動かなくなるよう細工 概要
⻑年システム管理者を兼務していたが、会社でいやなことがあり、退職を決意。
自身が退職後にシステムに不都合が起きるようタイマーを仕込み退職。
 発⾒の経緯
システム障害20 第19回 サイバー犯罪に関する白浜シンポジウム

機会会社にITがわかる人がいなくて、自身に権限が集中

動機

憂さ晴らし（仕返し）

正当化

これくらい当然の酬い悪意をもって能動的に不正を実⾏する者の対策は困難です③ 能動的な不正⾏為者の対策会社にITがわかる人がいなくて、自身に権限が集中

 適切な内部統制の構築（個人に権限を集中させない。BCPの観点からも、バックアップ体制は必要）

動機

憂さ晴らし（仕返し） 透明性のある人事評価 等
 コンプライアンス教育
 社内コミュニケーションの充実正当化

これくらい当然の酬い 倫理（⼈間）教育

機会

防げなくても、発⾒できる仕組みは必須です
21 第19回 サイバー犯罪に関する白浜シンポジウム

対策のまとめ画期的な対策などないと考え、地道に対応する必要がある
対策のまとめ1

教育（主にコンプライアンス系）

2

内部統制の構築3

発⾒的コントロール全社員から守る、くらいのつもりで対応する必要がある

23 第19回 サイバー犯罪に関する白浜シンポジウム

守るべき情報資産を明確にし、周辺のリスクを洗い出す
内部統制の構築
APT対策の考え方に似ている
 情報漏洩対策
情報のライフサイクルを詳細に分析し、どこにどのようなリスクが潜在するか把握し、対応する。
 システムの不正利⽤システムを把握し、厳格な権限管理を実施する。

24 第19回 サイバー犯罪に関する白浜シンポジウム

システム上のリスクポイント例

発⾒されることがわかっていて、不正を⾏う⼈がどれほどいるか次世代型モニタリング？の導入
⾼度な不正アクセスの発⾒⼿法と似ている
 発⾒的コントロール
業務アプリケーションのログや電子メールも含めたモニタリングを⾏うことで、セキュリティインシデントだけではなく業務上の不正等の発⾒も⾏う。

25 第19回 サイバー犯罪に関する白浜シンポジウム

参考）内部不正対策状況のチェックリスト
定義と責任の明確化
1. 重要情報の定義及びアクセス権限者が明確化され、管理に関するルールがあるか。
2. 情報の責任者を明確にし、責任者はその責任を認識しているか。

重要情報の所在を明確にし、アクセス権限者を限定
3. 情報のライフサイクルや業務フロー、データフローが管理され、どこにどのような情報が残るのか把握しているか（システムが利⽤するテンポラリ等を含む）。
4. 重要情報が保存されたサーバ等へのアクセスが、許可されたもの以外から拒否されることを確認しているか。
5. 重要情報へのアクセスを、改竄ができない仕組みで記録し、トレースが可能な状態か。
6. 退職者による不正を想定した退職プロセスが定義され、厳格に運⽤されているか。

情報の出口を押さえる
7. USBデバイス等、情報システムと物理的・論理的に接続できるものを把握し、媒体・情報の持ち出しを管理しているか。
8. 重要情報が保存されたシステムが物理的に保護されているか。
9. 相互監視やログ確認等により、牽制機能が働く環境になっているか。
10. 「動機」「正当化」を低減させるための教育等の施策を実施しているか。

既存の安全管理措置に対して、実証的検証を含めた再確認が必要
26 第19回 サイバー犯罪に関する白浜シンポジウム

さいごに（不正発⽣時の対応の考え⽅について少し・・）全員がクライシスと呼ぶなら、それはクライシスです
インシデントとクライシス−モーガン・ダウニー、ラサールグローバル

どのような対応を⾏うかで、組織のレピュテーションは⼤きく変わる 決断⼒のある指揮 ⾏動する−⾏動しないこともひとつの決断 コントロール可能なことに集中し、コントロール不能なことを受け⼊れる
 インシデントは現場で管理し、クライシスは組織全体で管理する
 継続的なクライシスの把握
 日々再評価する−計画に執着してはならない インシデントに気を取られ、クライシスを⾒失ってはならない 活発なコミュニケーション 自ら語る。メディアに語らせてはならない 一貫したメッセージを内外に伝える：：
28 第19回 サイバー犯罪に関する白浜シンポジウム

クライシスは物理的な災害を超えます
デロイトによるクライシスの定義
クライシスは、事業の存続を脅かす単独若しくは複合的な事象です
企業
政府組織
労働組合
政治団体

マーケットシェアと市場価値
信⽤⼒および財務リソース
現物の設備等の資産
知的財産

信頼性
ブランド

収益性
⽀払能⼒/財政状態...組織の戦略⽬標、レピュテーション、その組織の存在をも著しく毀損させる大規模な、もしくは複合的な事象を指します。
サイバー攻撃、悪意、不正⾏為、⾦融犯罪、対⽴、テクノロ
ジーおよび産業に対する脅威、財政難、倒産、自然災害や人為的災害等の大惨事、これらはすべて財政的なクライシスのきっかけとなる可能性があります。
29 第19回 サイバー犯罪に関する白浜シンポジウム

ご清聴ありがとうございます。