2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

1

2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

2

2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

3

（１）情報漏えいの原因
セキュリティの意識低下に関わるインシデントが多くみられる。

JNSA 2012 情報セキュリティインシデントに関する調査報告書より
2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

4

（２）セキュリティ意識が起因する発生原因と内容
No

原因発生率

内容

１

管理ミス

38.9

引越し後に個人情報の行方がわからなくなった。個人情報の受け渡し確認が不十分で、受け取ったはずの個人情報が紛失した。情報の公開、管理ルールが明確化されておらず、誤って開示してしまった。

２

誤操作

34宛先間違いによって、電子メール・ＦＡＸ・郵便の誤送信が発生した。

３

紛失・置き忘れ11.6

電車、飲食店など外部の場所で、情報媒体等を紛失または置き忘れてしまった。

４

不正な情報持出し

5.2

社員・派遣社員、外部委託先業者、出入り業者、元社員などが、顧客先、自宅などで私用するために情報を持ち出して、持出し先から漏えいした。

５

内部犯罪・内部不正 1.8
行為

社員・派遣社員など内部の人間が、機密情報を悪用するために不正に取得して持ち出した。持ち出した情報を使って犯罪を行ったり、売買してりした漏えいした。

６

設定ミス

1.8

Ｗｅｂ等の設定ミスで外部から閲覧できる状態になっていた。

８

バグ・セキュリティホール

0.6

ＯＳ、アプリケーション等のバク・セキュリティホールなどによりＷｅｂ等から機密情報が閲覧可能、または漏えいした。

2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

5

（３）今年上半期の個人情報漏洩事件・事故の一例
2013/10/10 大手電力会社は、原発事故で避難している住民の賠償関連書類などを業務委託先の職員が屋外のゴミ箱に捨てていた。

2013/9/30

某監査機構は、監査の取引先の氏名や取引残高などが保存されていたUSBメモリを、持出し禁止にも関わらず持ち出して紛失した。

2013/9/27

空港子会社の従業員が店舗を利用した俳優のクレジットカード伝票を携帯電話で撮影し写真をTwitter上に投稿していた。

2013/9/25 Ｍ県は県内企業の購買・開発担当者等461名に対しメール送信したところ、送信先の企業名・部署名・担当者名・メールアドレスが記載されたファイルを誤って添付して送信した。
2013/05/27

Ｈ県Ｋ市において、同市男性職員が女性職員に依頼して市住民情報システムより個人情報を取得し、調査会社の知人に漏らして現金を受け取っていた。

2013/5/21

小学校教師が同僚と深夜まで飲食して泥酔して、担当している学級の答案用紙や点数表を鞄ごと紛失した。

2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

6

（４）皆さんの周りでセキュリティ意識が欠如していると思われることはありますか？
ａ．会社やお客様の貸与品を紛失※する※紛失物＝入館証、携帯電話、ＵＳＢメモリ、ＰＣ、書類（ａ）飲酒して帰宅途中にＰＣの入ったカバンを紛失した。
（ｂ）電車の網棚に入館証とＵＳＢメモリの入ったカバンを置き忘れた。
（ｃ）飲食店などのテーブルに携帯電話を置き忘れた。
（ｄ）組織変更などで移動を繰り返すうちに重要書類を無くした。
（ｅ）重要書類を誤って廃棄するものと一緒に捨ててしまった。

ｂ．メールの誤送信（ａ）宛先に別に会社の社員が含まれていることに気づかず送った。
（ｂ）添付ファイルを誤って別の会社のファイルを付けて送った。
（ｃ）添付ファイルにパスワードや暗号化を掛けずに送った。
2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

7

（４）皆さんの周りでセキュリティ意識が欠如していると思われることはありますか？
ｃ．データベースのアクセス権限を見直していない（ａ）組織変更などで現在の業務に関係ない者が見れてしまう状態のまま放置している。
（ｂ）利用者に合ったアクセス権限を与えていない。（全員管理者権限）

ｄ．ＰＣやＵＳＢメモリなどの持出し管理ができていない（ａ）持出しの手続きはあるが形式的なものになっている。
（ｂ）個人情報や機密情報が含まれているか把握できていない。
（ｃ）持ち出す前にバックアップを取っていない。

ｅ．情報資産の棚卸が出来ていない（ａ）情報資産の棚卸や台帳を更新ができていない。
（ｂ）情報資産の重要度に応じた識別ができていない。
2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

8

（４）皆さんの周りでセキュリティ意識が欠如していると思われることはありますか？
ｆ．ウイルス対策が確実にできていない（ａ）ＯＳのアップデートやウイルス対策ソフトが最新の状態か確認していない。または、確認する仕組みや運用かない。
（ｂ）サーバを停止する運用できていないため、ＯＳのアップデートやウイルス対策ソフトの更新が遅れている。

ｇ．公共の場での会話
ロビー、エレベータ、交通機関、飲食店などの第三者がいる場所で平気で仕事の話をしている。

ｈ．ＳＮＳの利用
Twitterやfacebookなどにお客様や会社の情報を書き込んでいる。

ｉ．報告遅延インシデントが起きているのに報告が遅い。
2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

9

何故、セキュリティ意識が欠如するのでしょうか？

ａ．自分はインシデントを起こさないと思っている。

ｂ．インシデントが起きても影響がないと思っている。
ｃ．誰も見ていないので違反しても判らない思っている。

ｄ．業務が最優先で、セキュリティは二の次だと思っている。
ｅ．人事評価や給与、組織に不満を持っていて、会社のルールに従いたくない。逆に利用して儲けたい。
2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

10

何故セキュリティ意識が欠如するのでしょうか？
2013/3/15 「IPA テクニカルウォッチ
組織の内部不正防止への取り組み」より

2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

11

皆さんの会社や組織で取り組んでいることがあれば聞かせてください。

2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

12

ヒント１
■「知らないことはしない」「知らないことは聞く」の躾「だろう作業」厳禁
職場では原則を徹底する「躾（しつけ）」が大切■ＷＨＹを教える知識教育
ＨＯＷ（どのように）だけでなく Ｗｈｙ（なぜそうなのか）ということも理解させる。
・面倒な手順、規則であれば、その理由を理解させる。

・人間は本質的にケチ、楽に簡単にしようとする本能がある。
2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

13

ヒント２ 規則遵守を促す方法
促進感情
利益感
コントロール感

こちらに傾けて行く必要がある抑制感情
不利益感
罪悪感

社会心理学 ＫＳＡＢモデルを使って、段階を踏みながら規則遵守行動を定着させる
Ｋ（Ｋｎｏｗｌｅｄｇｅ）規則を知っている：規則をその理由とともに、知ってもらう。
Ｓ（ｓｋｉｌｌ）スキルを持つ：規則を実行するための技術、技量を身に着けてもらう。
Ａ（ａｔｔｉｔｕｄｅ）前向きの態度をもつ：規則を守ろうという態度、気持ちをもってもらう。
Ｂ（ｂｅｈａｖｉｏｒ）行動できる：ＫＳＡの結果として、規則を遵守する行動が出来るようになる。

2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

14

ヒント３ 規則遵守を促す方法
方法

内容

精緻化見込み理論

違反を起こすとどうなるか、結末と、自分が日ごろ行っている行動を対比させ、行動を振り返り、反省させる。

認知的不協和理論

規則の意義、自分の理想を考えさせた後、グループ討議を行
い平素の行動とのギャップを指摘して、反発心をあおる。
その反発心はギャップを埋める行動を促す。

集団雰囲気

規則の順守度の高い職場に入れて、自然に染みつかせる。

決意表明

朝会、ミーティング、年頭に今年の決意を書いて全員が張り出すなど、全員の前で自分の決意を表明させる。

段階的依頼法小さな規則遵守の目標を掲げさせ、それが実行できたら徹底的に褒める。そして次にもう少し大きな目標を立てて出来たら褒める。この繰り返しで徐々に遵守行動がとれるようになる。

2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

15

（１）ルール遵守
・目的を理解させ、段階的に遵守行動がとれるようにする。
・違反者は罰則し、反省と学びの機会を与える。

（２）セキュリティ教育
・ケーススタディなど討議の機会を設け、自ら考え気付きを与える。
・起きた場合を想定した訓練を行い、対策の必要性を理解させる。

（３）ＩＴの利便性と危険性認識・リスク低減の自動化、人的ミスをカバーする仕組みを取り入れる。
・使い方によって危険が伴うことを理解させる。

（４）インシデント情報の共有
・事例を共有して、危険性と発生原因・再発防止策を理解させる。

（５）人事制度と連携・セキュリティの取り組みを目標に加え、成果を評価する。
2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

16

2013/10/26

情報セキュリティマネージャー

Copyright by Tokyo chapter, ISACA 2013 All rights reserved.

17