情報流出――穏やかな日常に潜む

2017年6月の第1週に最高機密書類の取り扱いを誤ったとして懲役に入った米国国家安全保障局（NSA）の契約社員による「リアリティー・ウィナー事件」は、機密情報を含んだ書類の持ち出しに関する代表的な事例である（「ニューヨークタイムズ」紙が6月6日に報じた）。リアリティー・ウィナーは、NSAの情報をかき集め、流出させ、失わせたとして訴追された。

米国政府からの、レーダーに関する膨大な量の情報流出に伴って、内部捜査員が発見した文書は、改ざん（加筆）、印刷、持ち出しが行われた後に、おそらく安全な場所に戻っていた。「ニューヨークタイムズ」で報じられた通り、かつて米国空軍に従事していたウィナー女史は、すぐさま犯行を疑われた。彼女は、メキシコとの国境に「壁」を築くという米国政府の政策に反対しており、Twitterにも「#NeverMyPresident」というハッシュタグを付けて投稿していた。

大部分のセキュリティ事故は、こうしたハイレベルな国際的陰謀と無縁であり、かつ、明確な意図を必ずしも持つわけではないが、他方でこうした事故やセキュリティの侵害は、いかなる組織でも起こり得るのである。

文書管理は社会的評判を管理することに等しい

電子書類の監査、管理、保護には幾つかの方法があるが、同様に、印刷書類を管理する方法もさまざまである。では、印刷されたデータを保護し、悪の手に渡らないようにするにはどうすればいいのだろうか。そのために対処しなければならない脅威は、どのくらいあるのだろうか。

人為ミス――最も広がる問題

コンサルタントとして数々の中小企業へのセキュリティ監査を実施してきた、フランクフルトにある会社の従業員が、定期的に下請け業者を訪ねる出張の際の出来事が印象深いのでとり上げてみたい。彼のノートパソコンは、自分の事務所で使用しているプリンター以外に、下請け業者のプリンターも使用できるように設定されていたという。あるときフランクフルトの同僚は、彼からのメッセージを受け取った。そこには「プリンターを動かして、書類を手に入れたのなら、中身を見ずに直ちにシュレッダーにかけてほしい」と書いてあった。そのとき彼は、個人顧客のデータベースをプリントアウトしようとしていたのだが、プリンターの設定を間違ってしまったのである。

問題は遠隔から印刷しようとすると、組織のほかの誰からでもアクセスできてしまい、内部者であれば、どのような不正であってもセキュリティの網をかいくぐってしまうことである。普通の従業員が、ちょっとしたことから重要な契約書を眺めていたり、管理職の給与明細をチェックしているところを想像してもらいたい。

攻撃者は内部者であれ外部者であれ、プリンターから書類を取り出してしまえば、簡単に持ち去ることができる。もしもプリンターに自分が出力した書類が見つからなかったとしても、誰かがそのデータを不正目的に使用しようと企んでいると受け止めるよりも、ハードウェアの故障かもしれないと考えてしまうことだろう。

対策としては、機密情報を含む書類の印刷を管理することにある。1つのあり得るソリューションとしては、「DLP」（データロスプリベンション）に注目するのがよいだろう。このシステムのメリットとしては、インシデントのログを取り、不正な活動を監視し、リスクにさらされているユーザーに知らせ、印刷を阻止できることにある。

重要書類はどこにでもある

人事には履歴書がつきものである。おそらく誰もがプリントアウトされた履歴書が仕事机やテーブル、そしてプリンターに放置されているのを見たことがあることだろう。場合によっては、そこに管理職や担当者によるメモやコメントが書かれているかもしれない。

比較的規模の大きい組織では、金融関連の書類、契約者・消費者のデータがリスクにさらされる可能性がある。筆者が覆面監査官としてある企業を訪れたときは、廊下にあったプリンターに残された書類を閲覧できた。ほんの数秒で、企業が新たな機器を購入したがっていることを知った。また、交渉済みの価格もすぐに判明した。ほかに、関係者全員の連絡先情報も閲覧できた。さらには、ビジネスの潜在力分析や内部のSWOT分析も見つかり、電話はいつでも使用できた。必要だったのはこの情報を取得して立ち去る2秒だけだった。類似した例として、ヘルスケア企業の廊下で、ミーティングの開始を待っている間に、患者個人のデータと治療歴を記載している書類を見つけたこともある。

機密情報を含む書類が廊下や他の公共スペースに残されているときには、たいてい、物理的なセキュリティの問題になる。そのような、書類に関して直面するリスクを削減するためには、外部からの訪問客がアクセスできるエリアから別の場所に移動させてしまうことを推奨している。机の上を常にきれいにしておく「クリアデスクポリシー」を採用し実施することも重要だ。もちろんそのポリシーだけでは十分ではないが、定期的な研修の実施と内部監査によってベストプラクティスは実現できるだろう。

データ分類計画をすでに組織で行っているのであれば、機密書類、社外秘、トップシークレットといった透かしを入れてマークしておくことをお勧めしたい。そうすれば従業員は、どのデータを守ればよいのか簡単に理解できることだろう。ほかに加えることがあるとすれば、日常的に印刷を頻繁に行う部署には特に注意を払い、組織に与えるリスクを精査しておくことだ（マーケティングとPRのチームはコピー量の多い部署の代表であり、組織の機密情報に触れる部門でもある）。

人事や他の部署では、核となる知的財産に触れることが少ないものの、社会的評判への影響度を踏まえて対策を考えるべきであろう。

印刷を制御し続けるには

印刷された機密情報やデータのリスクと向き合う上で最も重要なのは、この種の事故が頻繁に起こり続けており、もしも水際で防がなければ最終的には巨大な規模のトラブルを引き起こしてしまいかねない、と心に刻むことである。情報セキュリティ全体がそうであるように、データを物理的に保護するためには、組織的、物理的、技術的にコントロールしなければならないのである

• 最も効果的な対策は、印刷物の管理をしっかりと行うことである。例えば、機密情報がむやみに印刷されることの防止や、物理的セキュリティの問題の解消などが挙げられる。
• リスクを特定したら、セキュリティ対策を実行するのが理にかなっている。ポリシーを設定し、従業員には研修を課し、印刷管理やDLPソリューションを実装するべきであろう。
• 書類の印刷は、情報漏えいのおそれのある業務フローと同様に、定期的な監査の対象とし、その結果に基づいて企業・組織はセキュリティ対策を実施すべきである。

データセキュリティの中で最も重要なのは、従業員自身だ、ということを思い出しておこう。セキュリティ意識を高めるとともに、注意力を継続させ、組織への帰属意識を養わなければならない。それなくしては、セキュリティ事故の発生は時間の問題になってしまうことだろう。