組織の内部不正ガイドライン改正

総合研究部 上席研究員　佐藤栄俊

組織の内部不正ガイドライン改正

　皆さま、こんにちは。2015年3月30日、独立行政法人情報処理推進機構(以下IPA)は、「組織における内部不正防止ガイドライン」の第3版を公開しました。2014年は、ベネッセコーポレーションによる大量の顧客情報漏えい事件をはじめ、退職者による海外への技術流出や従業員による不正な情報の窃取など、内部者の不正行為による情報セキュリティ事件が相次いで報道されました。IPAは、企業が情報の持ち出し等による”内部不正対策”を効果的に実施可能とすることを目的とした同ガイドラインを2013年3月に初版公開し、今回の改訂版では2014年に発生した事例を分析し強調すべき事項を加筆しています。

　同ガイドラインは、内部不正対策について未だ検討していない企業に対して、対策の整備と発生時の早期発見・拡大防止を目的としています。また、内部不正防止の重要性や対策立案・実行の体制、関連する法律などの概要を解説しているほか、組織における内部不正防止の在り方については、「基本方針」から、「資産管理」、「技術的管理」、「証拠確保」、「コンプライアンス」、「職場環境」、「事後管理」など10の観点のもと、合計30項目からなる具体的な対策を示しています。第3版では、同ガイドラインに対する企業等からの要望に対応したほか、ISMSの規格改訂（JIS Q 27001:2014）および営業秘密管理指針の全部改訂への対応、さらに同ガイドライン利用の参考となる基本原則および対策分類の追加をおこなっています。

▼　「組織における内部不正防止ガイドライン」第3版の主な改訂内容

10の観点からの主な対策

▼　情報処理推進機構（IPA）「組織における内部不正防止ガイドライン」

　本ガイドラインでは、組織内において具体的な対策を講じることができるよう10の観点から必要な対策30項目を網羅的に示しています。30項目の各対策は、「対策の指針」、「リスクの種類」及び「対策のポイント」の3点から構成されています。ガイドラインには、対策の指針をまとめた「内部不正チェックシート」が付いていますので、自組織の内部不正対策の状況を確認することができます。

　内部不正防止対策で重要なのは、「やると見つかる」という仕組みを構築することです。「重要な情報であることを明確にし、適切なアクセス権限を付与すること」「重要情報の持ち出し・可搬媒体等の持ち込みの監視」「定期的な操作履歴の監視・監査」の対策によって漏えいのリスクを低減することが求められます。以下に10の観点についてご紹介しておきます。

(1) 基本方針

• 経営方針に則った内部不正対策の基本方針を策定し要員に周知する。
• 経営者主導の下、内部不正対策を組織内に徹底させるための体制を構築・運用する。

(2) 資産管理

• 重要情報を格付け区分し、区分に応じた取扱いを定める。
• 利用者ID及びアクセス権の登録・変更・削除の手順を定める。また、重要情報へのアクセス権付与者を必要最小限とする。

(3)物理的管理

• 重要情報の保管場所や取扱う領域を定め、物理的に保護し入退管理を行う。。
• 情報機器及び記録媒体の持出し・持込みのルールを策定する。。

(4)技術的管理

• ネットワーク利用における対策（通信の暗号化、ウイルス対策ソフト・パッチの適用、ソフトウェアのインストール制限等）を実施する。
• 委託先とセキュリティ契約を締結し、定期的にセキュリティ対策の実施状況を確認する。

(5)証拠確保

• 重要情報へのアクセス履歴、操作履歴等のログ・証跡を記録し安全に保管する。
• ログ・証跡の内容を定期的に確認する（システム管理者以外の者が確認する。）。

(6)人的管理

• 役職、契約形態、権限（システム管理者・ユーザー）等に応じたセキュリティ教育を実施する。
• 雇用終了時に、秘密保持誓約書の提出、資産の返却、アクセス権の削除を行う。

(7) コンプライアンス

• 内部不正を犯した内部者に対する処分を就業規則等の内部規程に盛り込み、正式な懲戒手続を整備する。

(8) 職場環境

• 公平で客観的な人事評価制度を整備する。
• 業務量及び労働時間の適正化等健全な労働環境を整備する。
• 職場内において良好なコミュニケーションがとれる環境作りを推進する。

(9) 事後対策

• 内部不正発生時の対応体制、対応手順、報告手順等を整備する。
• 発生した内部不正の事例を内部不正者に対する処分も含めて要員に周知する。

(10) 組織の管理

• 内部不正と思われる事象が発生した場合の通報制度を整備する。
• 内部不正の防止・抑止の観点を含んだ内部監査等の確認を実施する。

ID、パスワードの脆弱性

　本ガイドラインによる「物理的な保護と入退管理」の項目では、サーバールームへの入室の際のICカードによる認証に加え、「バイオメトリックス」による認証に関する文言が追加されています。

　重要情報を守るためにファイアウォールやアンチウイルスを導入して外部の脅威に対抗することは、企業にとってもはや当たり前の施策となっていますが、それでも情報漏えい事件が頻繁に発生することからも分かるように、今のセキュリティ対策は必ずしも万全ではありません。とりわけ大きな課題と言えるのが、ID・パスワードによる認証システムのあり方です。内部ネットワークがいくら堅牢な仕組みで守られていても、ID・パスワードが流出し、悪意のある攻撃者が”なりすまし”によってシステムに不正にアクセスしたり、オフィスに侵入したりすれば、機密情報はいとも簡単に漏えいしてしまいます。IDカードのような”物理的な鍵”を使ったとしても、貸与や紛失、窃盗、複製などによる”なりすまし”の危険を払拭することはできません。

　ID・パスワードについては運用側にも問題があります。よくある「パスワードの使い回し」やIDカード等の部署内での共有は、危険であると認知されているものの、その数多くが利便性とのトレードオフから放置されているのが現状です。こうした課題を解決するためには、複数の認証方式を組み合わせるとうことも一つの手段です。

　現在の認証方式として「パスワードなどによる記憶認証」「IDカードなどの持ち物による認証」、そして「静脈や虹彩、指紋などによる生体認証」が挙げられます。それらを組み合わせることは、セキュリティ強度の向上において有効な手段だと言えます。

経営課題としての内部不正

　2015年3月24日、日本情報経済社会推進協会(JIPDEC)とアイ・ティ・アール(ITR)は国内企業698社のIT／情報セキュリティ責任者を対象に共同で実施した「企業IT利活用動向調査2015」の一部結果を発表しました。

　「経営課題として「セキュリティの強化」の重要度が上昇　マイナンバー制度へのシステム対応は、多くの企業がアプリケーションの部分的な改変を想定– JIPDECとITRが「企業IT利活用動向調査2015」の速報結果を発表 –」。

▼　「企業IT利活用動向調査2015」

　本調査によると、重視する経営課題についての回答では、「業務プロセスの効率化」が過去の調査結果に引き続き首位で、「情報セキュリティの強化」を挙げた企業が前年調査から大きく増加し2番目となっています。重視されている情報セキュリティのうち、「内部犯行による重要情報の漏洩・消失」のリスクに対する認識を質問したところ、「最優先で対応が求められている」とした企業が25.4%、「セキュリティ課題の中でも優先度が高い」とした企業が29.4%に上り、半数以上（54.7%）が優先度の高い課題であると回答しています。

　また、やはり関心が高い問題と思われる「標的型サイバー攻撃」のリスクの重視度合いについては、「最優先で対応が求められている（21.9%）」「セキュリティ課題の中でも優先度が高い（27.9%）」の合計で49.9%となっており、確かに高いのですが、内部犯行を特に重視している企業の割合の方が約5ポイント高いという結果であり、有効回答全体のうち5.2%（698社中36社）が過去1年間に「内部不正による個人情報の漏洩・逸失を経験した」とも回答していることからも、その背景事情が推測できます。

　内部不正による情報の流出は、今に始まった話しではなく、その事実に気づかずに見過ごされ、放置されている可能性も多いにあります。

　今の時期、新入社員を迎え入れ、社員研修としてセキュリティに関するプログラムを組んでいる企業も多いかとは思いますが、内部不正対策の有効な手段をいち早く入手し、反映できる企業体制の構築が望まれます。

内部不正による情報漏えい対策の考え方～違反や乱れを放置しない～

　情報漏えい事故防止のための対策としては、IT関連ソフトウェアや機器の導入による対処療法に陥りがちですが、「個人の視点」に基づく計画・実施と「組織の視点」による継続的な運用の双方が必要不可欠です。個人的な視点とは、人間をよく知り、当事者の視点で捉えることです。例えば高額の借金を抱え、その返済に追われる状況に追い込まれた人間は、強いストレスを抱えて、それから逃れるために、あるいは、直接的に横領などの内部不正に至ることがあります。過大なフラストレーションやストレス、ネガティブな感情が膨らむことで人は不正を起こし得るということです。対策の検討、実施に際しては、人は組織や社会における地位によらず「つい魔がさす」ことがあるということを認識し、業務実態との整合を図り、当事者が意義を理解し主体的に取り組むことが必須であり、この視点を欠いた対策は、効果が薄いばかりか、関係者の負担を徒に増大させることにつながり、新たなルールの逸脱や別の形の不正を招く要因となるおそれもあります。

　組織の視点とは、不正・違反防止に対する組織的な取り組みと言えます。「不正はどんな人間でも起こしうる」「不正は組織や環境に誘発される」という基本認識のもと、不正を生まない組織環境の構築や取り組みが求められます。組織内におけるコンプライアンス違反が「放置」されていると、そこにいる従業員は、社内規定や上司の指示・命令をタテマエ的であると認知し、信頼感や社内モラルの低下につながり、不正を誘発する要因となり得るのです。したがって、以下の項目に対する定期的なチェック・警鐘が必要です。

①小さな怠慢やミスが放置されている。

②周囲（上司・同僚等）が注意しない（もしくはできない）。

③小さな怠慢・ミスは許されるとの誤った認識が共有され、抵抗感がなくなる（習慣化）。

④また、認識していても、ここまで許されるなら、「もう少し散乱・破損しても大丈夫だろう」と自分で勝手にこじつける心理が働く（合理化・自己正当化）。

⑤違反や怠慢が放置されることにより、従業員同士で相互に注意しあわないことで、信頼感やモラルの低下が常態化する。）。

　最も基本的な部分ではありますが、遠隔地や個々の現場においても、決められた組織のルールがローカルルール化しないよう小さな怠慢やミスでも見て見ぬふりをせず、注意できる環境を構築すること、例えば、風通しの良さといった良好な職場環境の醸成が急務であるといえます。怠慢や違反を放置しない、見通しのきかない場所をなくすということも不正抑止には非常に重要です。

最近のトピックス

▼　IPA（情報処理推進機構）「スマートフォンでのワンクリック請求の新しい手口にご用心～業者への電話、メールは絶対NG～」

IPA（情報処理推進機構）によるとスマホ向け架空請求詐欺・ワンクリック詐欺で、iOSとAndoroidのどちらでも動作する巧妙な2つの手口が発見されています。

(1) シャッター音で写真撮影されたように思わせる

スマホのブラウザでサイトを見ている時に、高額な請求が表示され、同時にカメラのシャッター音が聞こえるというものです。証拠として写真を撮られたのかと動揺させるのが犯人の狙いです。この手口では、実際には写真は撮影していませんが、シャッター音の音声ファイルだけを再生し、撮影されたように思わせる手法で、IPAでは「これは業者に個人に関する情報が伝わってしまったと利用者に誤認させ、慌ててメールや電話で業者へ連絡を取らせる意図があると考えられます」と分析しています。

(2) 強制的に電話発信させようとする

業者向けに電話をさせようとするもので、サイトにアクセスすると、強制登録画面が表示され、「10万円払え」などの脅迫画面がポップアップで開くというものです。このポップアップはOKボタンしか押せずに、そのまま進むと電話の発信画面が表示され、業者へ電話をかけさせようとする手口です。これらの新しい手口への対策としては、「身に覚えがあっても無視すること」、「ブラウザーのタブと履歴をすべて消去する」、「不正アプリを削除する」ことが必要で、だまされないようにするためには、無料の動画系サイトやアイドルや芸能人関連の無料サイトは必要以上に注意することが必要です。また、特に「無料動画プレーヤー」をインストール・利用したことによる架空請求詐欺の多く報告されているので、注意が必要です。

＜関連するトピックス＞

▼　トレンドマイクロ「スマホを狙うワンクリウェアに新たな手口－カメラ撮影音の鳴動や位置情報の送信も」

◆セキュリティ10大脅威2015と対策

情報処理推進機構（IPA）は、インターネットやパソコンなどでの危険性・トラブルを、セキュリティの専門家が投票でランキングを決めて2014年に社会的影響が大きかった情報セキュリティ上の脅威からトップ10を選出し、「情報セキュリティ10大脅威 2015」として発表しました。

1位　オンラインバンキングやクレジットカード情報の不正利用

2位　内部不正による情報漏えい

3位　標的型攻撃による諜報活動

4位　ウェブサービスへの不正ログイン

5位　ウェブサービスからの顧客情報の窃取

6位　ハッカー集団によるサイバーテロ

7位　ウェブサイトの改ざん

8位　インターネット基盤技術の悪用

9位　脆弱性公表に伴う攻撃の発生

10位　悪意のあるスマートフォンアプリ

＜インターネットを安全に使うための8つの対策・心がけ＞

これらの情報セキュリティ脅威への対策として、IPAでは以下の8つの項目を「情報セキュリティ船中八策」としてまとめています。

一　ソフトウェアの更新～善は急げ～

二　ウイルス対策ソフトの導入～予防は治療に勝る～

三　パスワードの適切な管理～敵に塩を送ることのなきように～

四　認証の強化～念には念を入れよ～

五　設定の見直し～転ばぬ先の杖～

六　脅威・手口を知る～彼を知り己を知れば百戦殆からず～

七　クリック前に確認～石橋を叩いて渡る～

八　バックアップ～備えあれば憂いなし～

◆経済産業省「クレジット取引セキュリティ対策協議会が発足します～クレジットカード等を安全に利用できる環境整備を進めます～」

カード番号情報等の適切な保護の観点から、加盟店における非保持化の推進や保有する場合におけるPCI-DSS準拠に関する検証、新たな技術等の検証を通じた具体的な情報漏洩対策とクレジットカードのIC化が加速することを踏まえ、加盟店における決済端末のIC化等について、その推進に係る課題等について幅広く検討するとしています。また、インターネット上の取引におけるなりすまし等について、その発生状況や被害の実態を踏まえつつ、効果的な対応策の検討や新たな技術の検証等を行うとしています。

◆警察庁「平成26年中の不正アクセス行為の発生状況等の公表について」

警察庁は、不正アクセス行為の禁止等に関する法律に基づき、2014(平成26)年中の不正アクセス行為の発生状況等を公表しました。不正アクセス行為の認知件数は3,545件(前年比＋594件)、検挙件数は364件(前年比－616件)となっており、検挙人員は170人(前年比＋23件)、検挙事件数は150件(前年比＋5件)となっています。不正アクセス行為の手口としては、利用権者のパスワードの設定・管理の甘さにつけ込んだものが84件（24.9％）と最も多く、次いでフィッシングサイトにより入手したものが71件（21.0％）となっており、「連続自動入力プログラムによる不正ログイン攻撃」によるログイン行為が約80万件認知されています。警察庁では、利用権者が行うべき対策として「使い回しをしない、推測が容易なものを避けるなど、ID・パスワードの適切な設定・管理」「金融機関等を装ったフィッシングメールに注意」「ウイルス対策ソフトの利用、各種ソフトウェアのアップデート」を挙げ、アクセス管理者等が行うべき対策として「ワンタイムパスワード等による個人認証の強化」「サーバの脆弱性の解消と監視体制の強化」を挙げています。システムの側からすれば、パスワードが何であれ、認証できたということは正当な利用者として判断されます。パスワードについては、個人利用の端末（スマホ、タブレット、PC）であっても少なくとも推測されやすいもの（生年月日、氏名、家族、ペットなど）は避けるとともに、8文字かそれ以上の文字数で英数を混ぜることや、同じユーザー名・パスワードを使いまわさないことが重要だと言えます。

最近の個人情報漏えい事故（2015年3月）

　下記の表は、先月3月に発生した個人情報漏えい事故一覧です。会社や組織で公表されているもので、かつ当社で把握しているものであり、国内すべての事案というわけではない点につきましてはご了承願います。

※情報セキュリティに特化したニュースサイトであるSecurity Next(http://www.security-next.com/)、その他マスコミで報道されたものをまとめたポータルサイト、各行政や企業がWebサイトで公表したものを参考に当社作成

　「24」は、内部関係者が重要情報を不正に閲覧していた事案で、大阪市は3月9日、職員56人が業務外で著名人や知人らの戸籍を不正に閲覧していたと発表しています。昨年2月に戸籍事務を担当する職員2人が、市長や著名人らの戸籍情報に不正アクセスしていたことが発覚したことを受け、市の外部監察チームが調査し報告されました。また、端末操作の研修の際にも戸籍を閲覧していたことも判明しており、大阪市は職員の研修を徹底する考えを示しています。閲覧した動機は、ほとんどが興味本位や個人利用目的だったとされています。

　本事案は、正規の権限を与えられた人物が不正に情報を閲覧しており、アクセス制御では防ぎようがありません。市民局によると、調査対象の職員は平成22～25年度に戸籍情報システムへのアクセス権限が与えられた980人としています。

　内部不正を抑止する目的は、内部不正によるロスの極小化にあります。この点、過去の個人情報漏えいの等に関するインシデント報告等を見ても、内部不正にかかる情報漏洩で被害の大きいケースは、「正当な」アクセス権限を持つ人物が「正当な」作業手順で、「不当に」データ収集・持ち出しを故意に行ったというケースです。

　本事案等の対策を検討するにあたっては、従業員の意識や情報モラルも当然重要だと思いますが、組織としてまずは資産である情報の重要性とその脅威を明確にし、「アクセス権限を持つ人物を最小限に留める」「退職者など、アクセス権限保持者に異動があった場合には速やかにそのIDとアクセス権を削除する」「アクセス状況をモニタリングする」などの基本的な部分をあらためて確認してみる必要があります。

セミナーや研修について

　当社ではSNS利用上のリスクや情報管理（主に情報漏えい対策）に関して、セミナーや研修を企業・自治体・学校、病院等の分野で数多く実施しております。

　セミナーや研修を通じて、新社会人（新入生）に限らず、全社的に教育を実施しインターネットの特性や情報リテラシーの理解、意識の向上を検討されている際は是非ご相談ください。

【お問い合わせ】

株式会社エス・ピー・ネットワーク 総合研究室

Mail：　souken@sp-network.co.jp

TEL：　03-6891-5556