|
|
 【NTTコムウェア】 情報システムからの個人情報漏洩を防ぐ 個人情報保護対策ソリューションを提供 NTTコムウェアは、情報システムからの個人情報漏洩を防ぐソリューションの提供を開始した。個人情報を扱う社員がパソコンでどのような操作をしたのかを動画像として記録し、監視パソコンで確認することのできる機能など、４種類の主力機能を組み合わせた。４月から施行される「個人情報保護法」。個人情報を大量に扱い、最も厳しい管理が求められる金融機関での利用に対応するソリューションだ。 ■個人情報保護対策ソリューションの概要 長年にわたる情報通信システムの運用経験やノウハウに基づき、お客様の社内ルール（セキュリティ・ポリシー）策定から脆弱性のチェック・アクセス権限の管理、個人による不正アクセスまで、現場で必要なすべての対策を盛り込んでいる。さらにそれらを集中管理することで、運用負荷も軽減できる。  ソリューションの概要 主な機能は次のとおり。 （1）端末操作記録システム（*1） アクセス状況監視の中で、最も直接的に不正な情報の持ち出しを防止する方法は、不正アクセス者が情報の持ち出し処理を実行できない環境にすることだ。それでも強引に不正アクセス行為が行われた場合には、管理者側でネットワークに接続されている端末の操作状況を監視し、不正アクセスの経路を特定することが必要になる。しかし、この不正アクセス行為防止環境や監視・経路追跡処理を、アクセスされるデータ側を基点として設計すると、データ量の増加や管理場所の拡張等により、処理負荷が大きく増加する可能性がある。「端末操作記録システム」は、情報漏洩の疑いがある操作パターンを検知して画面の映像、および周辺機器の接続・操作状況を克明に記録し、セキュリティ管理者に通報する機能を提供する。また、最新のバージョンでは24時間365日連続記録に対応したサーバー機能を提供、顧客データベースなどを管理する高セキュリティエリアにおいて不正操作が行われていないことを証明する。同時に操作をリアルタイムに監視する機能や検索機能を搭載し、断片的なログからは知ることのできない操作者の意図を忠実に再現できる。これにより、正規ユーザーによる正規ルートでの情報アクセスに対して情報漏洩抑止・防止に強い効果を発揮する。 （2）データベース・セキュリティシステム（*2） 顧客データベースは、今やネットワークの外部・内部の双方から、不正アクセスの危機にさらされている。この不正アクセスから顧客データベースを常時「守る」ためには、頻度の高い監視や検査処理が必要となり、データベース自身の設定変更や、監視・検査のための新たなデータベース処理の発生など、システムに大きな負荷を強いることが課題だった。 「データベース・セキュリティシステム」はシステムの動作や関係者の工数負荷を増加させることなく、確実な常時監視と監査証跡の保全を実現し、脆弱性評価と継続的監視を行う。脆弱性評価では、データベースの既知の脆弱性や、ユーザー固有のルール等に基づき評価を行い、データベースの脆弱ポイントや脆弱性の傾向分析レポートの作成が可能である。監視においては、データベースへの不審アクセス・データベース構造・情報内容の改ざん、セキュリティのルール違反など発生時には、「誰が・いつ・何を・どこから行ったか」をセキュリティ部門にメールなどで迅速に通知するとともに、アクセス履歴の記録を行うことで、被害の極小化と、新たな不正アクセスへの牽制を実現する。Oracle、DB2/UDB、Microsoft SQL ServerTM、Sybase、HiRDB等の市販の主要DBパッケージに対応した、クロスプラットフォームデータベース・セキュリティ・システムだ。 （3）生体認証（*3） 全てのセキュリティシステムにおいて、最も基本となる処理は、各システムユーザーが本人であることを確認する個人認証。特にお客様の個人情報を取り扱う企業内ネットワークにおいては、システムユーザーの高精度の個人認証が極めて重要であることは言うまでもない。 しかし、高精度の個人認証を実現するためには、システム利用者自身にパスワードを忘れないことや個人認証情報を盗まれない等の意識付けが必要だ。残念ながら、このような人的セキュリティに関しては、ハードウェアを利用したセキュリティや、プログラムによるセキュリティとは異なり、確実に精度を高めることが困難である。これまでのパスワード認証を指紋認証に置き換えることにより、従来のパスワードによる認証より高いセキュリティを確保する。新アルゴリズム（周波数解析法*4） の採用により、従来方式では登録できなかった指紋でも登録可能となり拒否率0％（実績値）を実現した。また、スイープ型センサの採用により、低価格・軽量・コンパクトを実現した。ログオン認証のほか、アプリケーションアクセス制御、データ暗号・復号、勤怠管理を指紋認証で実現することも可能。 （4）ファイル流通管理システム（*5） 日常業務の中には数多くの機密文書が存在している。しかし、これらの文書における情報漏洩防止に関しては、ネットワークの監視・現場の監視・個人の責任に頼るなど、根本的な対策がほとんど立てられておらず、不正コピーや流出を防止するシステムの実現が求められていた。現在、デジタル文書を安全に流通させるための手段として、PKIによる暗号化が広く使われているが、この方式では用途別に暗号鍵を用意するため、鍵の管理が煩雑になり、管理コスト負荷が増加したり個人の責任負荷が増加したりするという問題点を抱えている。「ファイル流通管理システム」では、情報そのものに永続的セキュリティを施している。 Active Directoryと連携し、ドキュメントの閲覧範囲を「営業担当、開発担当のみに閲覧を許可する」といった設定を行うことが可能だ。また、「閲覧のみ可能」「閲覧と印刷が可能」などのアクセス制御についても設定でき、適切な範囲で、適切なドキュメントの利用が可能になる。オフラインでの利用も可能で、文書が持ち出されても、その後の二次利用を防ぐことができる。 これにより、情報の格納手段、流通方法を問わず、高度な情報のセキュリティ確保を実現する。 ■今後の展開など 社員の登録情報を統合管理する機能を付加する予定で、人事システムと連携させ、人事異動に伴うシステムへの登録変更などの管理稼動を削減できるようにする。人事異動が頻繁で、厳しい管理が求められる金融機関での需要を見込む。さらに金融機関でのソリューション展開をベースに、他業種の需要も掘り起こす。 ■背景 これまで、情報通信分野のセキュリティ対策は、「外部からの攻撃」に目が向けられていた。しかし最近ではファイアーウォールの内側、即ち企業ネットワークの内部から膨大な個人情報が持ち出される「内部からの情報漏洩」が門段になっている。 ４月から施行される「個人情報保護法」の中では、事業者内部でのアクセスの監視・電子鍵による認証、教育研修の徹底などが厳しく規定されている。そうした中、内部事情の精通者による情報の持ち出しなどによる漏洩に対しては、関連パッケージを導入するだけで、十分とは言えず、効果的なシステムを有機的に組み合わせた対策が必要であった。 【解説】 （*1）ESS REC：エンカレッジ・テクノロジ? （*2）IPLocks：IPLocks, Inc. （*3）UBF：?ディー・ディー・エス （*4）周波数解析法：指紋紋様をスライスした断面の波形を特徴情報として利用し、音声認識技術を応用した、?ディー・ディー・エスの独自技術と産学連携技術。 （*5）DRM 技術を用いた情報漏洩防止ソリューション： NTT コムウェア西日本（株）／従来は動画や音楽などの著作物を管理するDigita lRights Management 技術をオフィスドキュメントに応用し、実現したソリューション。
|