セキュリティバイデザインにおける人・ユーザーの振る舞い分析の重要性

就業や業務のスタイルが多様化する現在、ごく限られた場所やポイントだけにセキュリティ対策を施せばよかった旧来の方法では、セキュリティの確保が難しくなっています。また、ユーザーのちょっとした不注意な振る舞いから重要な情報が漏えいしてしまうなど、人・ユーザーが「セキュリティの境界線」になりつつあります。セキュリティバイデザインの実践において重要となる人・ユーザーの振る舞いを分析することの重要性について紹介します。
【富士通フォーラム2017 セミナーレポート】

人・ユーザーが、セキュリティの新たな境界線に

富士通株式会社
サイバーセキュリティ事業戦略本部
シニアマネージャー
植村 武彦

「セキュリティバイデザイン」は、情報セキュリティを運用フェーズに入ってから後追いで実施するのではなく、企画・設計段階から確保するという考え方です。

セキュリティ確保の方策の一つとして、「プロセス・ルール」「リスク分析・要件定義」「技術対策」で構成される例があります。これらの方策は、主に人・ユーザーを制御・コントロールするためのものです。
しかし、人間は賢いもので、制約をかけられると、悪意の有無にかかわらず、それを回避しようと工夫します。近年では人々のこういった意図的・無意識な振る舞いが綻びを生み、情報流出や内部不正のリスクとなる状況が起きています。

かつては、従業員、ユーザー、機密情報などの「守るべき対象」が、事業所やデータセンターなどの一箇所に集まっていましたが、現在ではクラウドやモバイル、業務委託などで拡散しています。このため、人・ユーザーがセキュリティの新しい境界線になっています。

人・ユーザーのITリテラシー、技術レベル、価値観、倫理観、就業スタイルは多種多様です。その上で行われる活動の妥当性を見極めるには、ユーザーに一番近いエンドポイントで客観的にその振る舞いを分析することが有効です。

エンドポイントでの分析には、プライバシーへの配慮、大量データの分析に必要な専門性、エンドポイント環境への負荷など、いくつかの課題があります。

セキュリティバイデザインにおいてはユーザーの振る舞いを分析することが重要ですが、振る舞いを分析し、その妥当性を判断することはとても難しいことでもあります。

異常な振る舞いを検出し、内部不正をスピーディに把握

Dtex Systems
CO-FOUNDER&CTO
Mohan Koo 氏

Dtex Systems社は、内部不正の分析に関して10年以上の実績があります。

多くの企業は、内部不正に対して、流出を如何にして止めるのか、どのようにして不正を目撃するのか、誰がいつデータを盗み、どこへ持っていったのかに関心を持ちます。しかし、この「流出」の時点で気づいても、もう遅いのです。

注目すべきは、不正のすべてのステップ。流出の時点で気づいても遅い

内部不正が行われる流れには、「偵察」「迂回」「収集」「秘匿」「流出」5つのステップがあり、最終ステップの「流出」にだけ注目しがちです。誰が、どのようにデータを持ち出したのかは分かり、訴えることもできますが、データは既に流出しています。不正を防止するためには、最終段階の「流出」にだけ注目するのではなく、各ステップにおいて不正を検知し、防止する必要があるのです。

不正を行おうとする者は、システムに侵入すると、まず、どのようなファイルがあるのか、どのようなセキュリティシステムがあるのかを探し始めます。これがステップ1の「偵察」です。

続いて、ステップ2では、導入されているセキュリティツールを「迂回」しようとし、ステップ3の「収集」でデータを一箇所に集めます。
この後、侵入者は自分の振る舞いの履歴を隠す作業「秘匿」を行います。これがステップ4です。ファイル名を変えるということはよくあることですが、これまでアクセスしたことがないファイルにアクセスしてファイル名を変更したという事実は大きな証拠となります。

ステップ5の「流出」はこのような流れで行われますが、これら5つのステップの一つひとつにおける振る舞いを学び、"異常な状態"を定義できれば、流出を防止することができます。

ロンドン証券取引所では、我々のシステムによって過去12カ月に5件以上の情報流出を防ぐことができました。これは、単にデータの流出を防止できたというだけでなく、ブランドへのダメージを食い止めることができたということでもあります。

TRUST BUT VERIFY(信頼する、しかし検証はする)という考え方

サイバーセキュリティの世界では、過去10年間、すべてを制限するというアプローチが主流でした。たとえば、ユーザーにはUSBメモリを使わせない、アクセスできるWebサイトを制限するといった方法です。しかし、制限によって本来すべき業務ができなくなったユーザーは必ず抜け道をみつけます。

それを防ぐためには、例えば新しく誰かを採用した場合、採用するにあたっては身元調査も前職での業績も調査しているわけですから、その人をまずは信頼するところからスタートしなければいけません。

信頼しているわけですから、制約をかけずに自由にアクセスを許し効率的にイノベーティブな仕事ができる環境を与えつつ、しかし、同時に、行動の検証も行っていくべきです。
ユーザーの作業内容をしっかり検証し、不正行為があればそれを見つけて止められる仕組みや、ミスをした場合には教育をすることも大切です。

プライバシーを配慮し世界中の個人情報保護に準拠したテクノロジー

Dtex Systems社のシステムでは、ユーザーが使う各デバイスに「コレクター」という非常に軽いソフトウェアを入れ、ユーザーがデバイスにログインしてからログオフするまでの振る舞いを収集します。

多くのデバイスから情報が入ってきますが、データは一元化されたレポジトリに集められ、匿名化された状態で分析が行われます。データの匿名化に際しては、個人を特定できるような情報はすべて外し、暗号化が行われるため、ユーザーの振る舞いはすべて見えますが、それが誰の振る舞いかは分かりません。

このようにして、分析担当者は個人名を知ることなく不正を発見できます。不正が発見された場合、上司や法務、コンプライアンス部門などの許可を得てから個人名を特定するファイルにアクセスして捜査を進めます。この仕組みは、従業員の権利や個人情報を守るために必要で、特に、個人情報保護の法律が厳しいヨーロッパでは重要です。

このシステムではコンテンツそのものや、キーログ、キーストローク、スクリーンショットなどは収集しません。プライバシーを守りながら、世界中どこの国であっても、その国の個人情報保護法に準拠した形で使える仕組みになっています。

人、プロセス、テクノロジーの全体像を把握し高いセキュリティを実現

「セキュリティバイデザイン」の実施において、私たちはテクノロジーだけに焦点を当てているわけではありません。企業でセキュリティの問題が起きた場合、セキュリティ対策の製品を買っただけでは問題は解決しません。

重要なのは、セキュリティ製品の導入と同時に、人や仕事のプロセスに対する考え方も変えていくことです。

私たちは、不正な振る舞いを検知するテクノロジーを提供しますが、これに加えて、カルチャーを変えるためのプロセスを考え、プロセスに係わる人々を変える努力が必要です。

例えば、誰かの不正な振る舞いが発見されたとします。しかし、それはただの間違いかも知れません。これは「ティーチャブルモーメント」(教えることができるタイミング)と考えるべきです。この段階で「今あなたはこういうことをしましたけれど、それはやってはいけないことです」と教えて、その理由を説明します。こういうティーチャブルモーメントをうまく活用することが重要です。

セキュリティの確保で重要なのは、人、プロセス、テクノロジーの全体像を把握することによって、本当の意味での問題解決がなしえるということです。富士通と私たちDtex Systemsは、まさしくここで協力していきます。

登壇者
  • 富士通株式会社
    サイバーセキュリティ事業戦略本部
    シニアマネージャー
    植村 武彦

  • Dtex Systems
    CO-FOUNDER&CTO
    Mohan Koo 氏