[画像のクリックで拡大表示]

 城北信用金庫(城北信金)は,職員の故意または過失による情報漏洩(ろうえい)対策を大幅に強化した。2005年12月~2006年3月には,約1500台あるPCに対する職員の操作履歴の記録を開始。2006年3月には,情報漏洩事故が発生した場合に備え,記録した操作履歴から迅速に漏洩源と漏洩範囲を特定するためのシステムを本稼働させた。さらに6月1日には,情報漏洩のリスクをはらんだ行為が前日に発生したかどうかをレポートするシステムも本稼働させた。

 城北信金では,以前から情報漏洩対策に力を入れていた。PCの取り扱い要綱を定めて職員で読み合わせをしたり,各拠点にセキュリティ・チェック・シートを配って自己評価したりしてきた。2003年ごろからは,システム的な対策を強化した。例えば,送信メールの内容をチェックして不審なものは送信を保留したり,情報を投稿できるようなWebサイトへのアクセスを禁止したりした。さらに2004年には,USBキーをトークンとする職員認証システムを導入し,外部記憶体の暗号化も徹底した。こうした一連の情報漏洩対策の集大成として,「強い漏洩抑止効果を期待でき,かつ,もし漏洩したとしても迅速に情報源と被害範囲を特定できる仕組みを作ろうと考えた」(システム部 システム企画グループ 次長 濱田良直氏,写真右)。

 具体的には,PC上での職員の操作履歴を記録するツールを導入することを検討した。城北信金は,野村総合研究所の協力を得て,複数の情報漏洩対策ツールを調査。インテリジェント ウェイブの「CWAT」,エムオーテックスの「LanScope Cat5」,日立製作所の「秘文」シリーズの3製品に絞り込み,実機で評価することにした。評価に当たっては,情報システム部門に本番環境と同等な検証環境を構築。1製品当たり1カ月半~2カ月程度の時間をかけ,機能や実用性を“実戦形式”で確かめた。「担当者を情報漏洩の犯人に当たる“漏洩班”と,犯人を突き止める“追跡班”に分けて,ロールプレイを実施した」(同グループ 主任 冨田祐樹氏,写真左)。

 ロールプレイの内容は,こうだ。まず,漏洩班の担当者が,職員の正規の業務権限に基づき情報を抽出。その情報を複数のPCでやり取りし,途中で情報の加工やファイル名の変更をする。最終的に,電子メールや外部記憶媒体,印刷物の形で社外に持ち出す。持ち出した情報を追跡班に渡し(マスコミなどから情報を持ち込まれた事態を想定),追跡班が犯人や犯行の時刻・手口を特定できるかを検証した。

 追跡班はまず,電子メールを使って情報漏洩したと予測。電子メールのあて先,添付ファイルの有無,サイズ,送信日時などから,怪しいと思われる送信履歴情報を絞り込んだ。次に,絞り込んだメールの送信者が,その前後にどのような操作をPC上で実施していたかを,情報漏洩対策ツールのログから調査した。

 だが,情報漏洩対策ツールによっては,暗号化していないファイルをコピーした場合には追跡できないものや,アプリケーションで「名前を変えて保存」すると新規ファイル扱いとなり元ファイルを特定できなくなるものがあった。唯一,犯人の振る舞いをさかのぼって追跡できたのが,インテリジェント ウェイブの「CWAT」だったという。

後編に続く