機密データの監視とは、個人データや業務データを特定、分類し、その安全を確保するプロセスです。 サイバー犯罪者が、クレジットカード情報、社会保障番号、および組織の機密データへのアクセスを試み、それらを利用、販売、あるいはその他の方法で悪用しようとするケースが増加している中、組織が委託されたデータを保護することは極めて重要となっています。
機密データとは何ですか？ 機密データにはどのような種類がありますか？
機密データとは、一般に公開された場合に、それを保有する組織に何らかの損害をもたらすおそれのあるデータのことです。 これらの費用には、情報漏洩の通知費用（消費者や規制当局への通報費用を含みます）、システムの停止による収益の損失、規制当局からの罰金、評判の低下による顧客の流出、さらには訴訟や損害賠償などが含まれる場合があります。 According to the Ponemon Institute’s “Cost of a Data Breach Report 2021,” the average cost of a data breach rose from $3.86 million to $4.24 million, the highest in the report’s 17-year history.
機密データにはさまざまな種類があり、自組織にとってどのデータが重要であるかを特定することが極めて重要です。 とはいえ、機密データは一般的に、いくつかの大まかなカテゴリーに分類することができます：
- 企業情報： 財務帳簿や財務諸表、従業員情報、知的財産、営業秘密など、組織の運営に不可欠なあらゆるデータ。
- 個人データ： 個人に関連付けられ、単独で、または他の情報と組み合わせて使用することにより、その個人を直接特定できる情報です。 この種のデータには、氏名、生年月日、住所、社会保障番号、人種、性的指向、宗教、政治的見解などが含まれます。
- 健康データ： 個人の健康に関する情報。これには、病歴、障がいに関するデータ、医学的診断、フィットネスアプリからのデータなどが含まれます。
- 財務データ： 個人の銀行口座情報、クレジットカード情報、およびセキュリティコードやPINなど。
- 生体認証データ： 顔の特徴、指紋、虹彩スキャン、声紋など、生体認証に使用される人体のデータ。
- 遺伝データ： DNAやRNAの分析を通じて得られる、染色体情報など、個人の遺伝的特徴のことです。
どの機密データを保護すべきかを特定することは、必ずしも簡単ではありません。 それは、機密データが「規制対象」と「規制対象外」の2つのカテゴリーに分類されるからです。
- 規制対象データ（ ）は、それを保護するデータプライバシーに関する法令や規制において、常に機密情報とみなされます。 例えば、「医療保険の相互運用性と説明責任に関する法律（HIPAA）」では、連絡先、社会保障番号、財務データ、診断結果、治療内容など、個人の医療記録に含まれる十数種類以上の情報へのアクセスに関する規則が標準化されています。 この種のデータは常に機密情報として指定されているため、医療機関はどの情報を機密として扱う必要があるかを容易に把握することができます。
- 規制対象外のデータ（ ）には、公に知られているすべての情報が含まれます。 作成されるデータのほとんどは、このカテゴリーに分類されます。 データプライバシーに関する法令や規制の直接的な適用対象ではありませんが、このカテゴリに含まれる一部のファイルや文書（従業員との契約書や顧客アンケートなど）には、機密データに分類される可能性のある情報が含まれている場合があります。 このことは、組織がデータを適切に保護するためには、どのようなデータを保管しているかを把握する必要があることを浮き彫りにしています。
機密データはどのように悪用される可能性があるのでしょうか？ 機密データの漏洩にはどのようなリスクがあるのでしょうか？
「データ漏洩」という言葉を耳にすると、多くの人はおそらくクレジットカード情報の盗難を思い浮かべるでしょう。 それは、この10年間で、大量のクレジットカード情報が流出するハッキング事件が、ますます頻繁にニュースの見出しを飾るようになったからです。
最も大きな事例の一つは、 2013 のターゲット社におけるデータ漏洩事件でした。。 ハッカーたちは、洗練されたフィッシング攻撃を用いて、同社の外部ベンダーの1社のログイン認証情報を盗み出しました。 彼らはこれらの認証情報を利用して、ターゲット社の内部ネットワークに侵入し、最終的には同社のPOS（販売時点情報管理）システムにアクセスしました。
その後、彼らはそれらのシステムにマルウェアを仕込み、顧客がカードをスワイプする際に、POS端末のメモリからクレジットカードやデビットカードの情報を盗み出しました。
その後、ハッカーたちは盗んだデータを収集し、デジタル闇市場で売却しました。 Target estimated that information for up to 110 million customers was stolen, making it one of the largest data breaches in history. In its data breach settlement, the company paid $18.5 million to 47 states and the District of Columbia (in addition to the $202 million it spent on legal fees and other costs in the wake of the breach).
「漏洩した機密データは、意図しないあらゆる方法で悪用される可能性があり、そのデータを預かっている企業にとって深刻な影響を及ぼす恐れがあります。」
クレジットカード情報の漏洩事件がニュースの見出しを独占していますが、データの悪用はそれだけではありません。 漏洩した機密データは、意図されていないあらゆる方法で悪用される可能性があり、そのデータを預かっている企業に深刻な影響を及ぼす恐れがあります。
データ悪用の最近の最も悪名高い事例の一つとして、ソーシャルメディア大手のFacebookと英国のコンサルティング会社ケンブリッジ・アナリティカが関与した事件が挙げられます。 The developers of an app called This Is Your Digital Life (TIYDL) collected up to 87 million Facebook profiles.
このアプリは性格診断クイズとして設計され、ユーザーの心理プロファイルを作成したり、ユーザーのFacebook上の友人の個人データを収集したりするために利用されていました。 その後、このアプリの開発者たちはそのデータをケンブリッジ・アナリティカに売却し、同社はそれを用いて、ドナルド・トランプ氏やテッド・クルーズ氏の選挙運動において有権者へのターゲティングを支援しました。 Ultimately, Facebook paid a $5 billion penalty for the exposure and subsequent misuse of its users’ data.
Facebookとケンブリッジ大学のデータ流出事件のような出来事により、アドテック企業がデータをどのように利用しているかについて、より厳しい目が向けられるようになりました。 こうした状況を受け、データの収集や利用に関する規制が強化され、欧州連合（EU）の一般データ保護規則（GDPR）やカリフォルニア州消費者プライバシー法（CCPA）などが制定されました。
機密データに関しては、どのような規制がありますか？
企業の事業運営を規定する規制要件は数多くあり、そのほとんどが機密データの取り扱い方法を定めています。 特定の業界を対象とした規制もあります。 例えば、HIPAAは医療業界を対象としており、PCI DSSは金融業界を対象としています。 CCPAやGDPRなどの他の規制は、特定の地域内のすべての業界に適用されます。
[続きを読む：データセキュリティに関する「規制の乱立」が多国籍企業にプレッシャーを与えています]
また、規制は地域によって異なる場合があり、そのため、同じ業界内であっても、データ取り扱いに関する要件は、欧州と米国では異なるだけでなく、米国内でも州ごとに異なることがあります。 しかし、事実上すべての規制や基準が、ITおよびデータセキュリティに影響を及ぼしています。 これらの中で最も一般的なものには、次のようなものがあります：
GDPR（ 、一般データ保護規則）。 2016年に欧州連合（EU）で採択されたもので、市民のデータの保護とプライバシーを規定する基本法です。 GDPRでは、EU加盟国内で行われるすべての取引に対して、以下のようないくつかの義務が導入されました。具体的には：
- お客様は、データの処理について同意する必要があります。
- 個人を特定できる情報は、すべて匿名化または仮名化（消費者の身元を仮名に置き換えること）を行わなければなりません。
- データ漏洩が発生した場合は、 72 時間以内に消費者に通知しなければなりません。
- EU域外へ転送されるデータについては、受領者側がEUと同等の保護水準を確保しなければなりません。
- 一部の企業は、GDPRの遵守状況を監督するため、データ保護責任者（DPO）を任命しなければなりません。
EU域内のすべての組織は、GDPRの適用対象となります。また、EU域外に拠点を置く組織であっても、EU域内で事業を展開している場合や顧客を抱えている場合は、同様にGDPRの適用対象となります。
CCPA (California Consumer Privacy Act), enacted in 2018, grants several rights to California residents, including:
- どのような個人情報が収集、利用、共有、または販売されているかを知る権利です。
- 企業およびそのサービス提供者が保有する個人情報を削除する権利。
- 個人情報の販売を拒否する権利。
- 消費者がCCPAに基づくプライバシー権を行使する際、価格やサービスにおいて差別を受けない権利。
また、CCPAは事業者に対していくつかの新たな義務を課しました。 最も重要な点は、CCPAの規制対象となる事業者は、データ収集時またはそれ以前に、消費者に通知を行わなければならないということです。 また、データ収集のオプトアウトを希望する消費者、どのようなデータが収集されているかを知りたい消費者、あるいは収集されたデータの削除を希望する消費者への対応手順を策定しなければならず、これらの要請には所定の期間内に対応しなければなりません。
[続きを読む：サイバーリスクスコアとは何か、なぜ重要なのでしょうか？]
CCPAは、カリフォルニア州の住民にサービスを提供し、かつ以下の基準のいずれかを満たす営利企業に適用されます：
- Generates more than $25 million in gross annual revenues.
- 年間を通じて、 50,000 件以上の消費者、世帯、または端末の個人情報を購入、受領、または販売しています。
- 年間収益の 50％以上を、消費者の個人情報の販売によって得ています。
PCI DSS（ 、ペイメント・カード・インダストリー・データ・セキュリティ・スタンダード）。 2004年に導入されて以来、決済処理のセキュリティ基準を向上させるため、定期的に更新が行われてきました。 この規格では、カード会員データを保護するための12の主要な要件が定められており、その中には、ファイアウォールの要件やパスワード規則、転送中のデータの暗号化、ネットワークアクセスの監視などが含まれています。 PCI DSSは、カード会員データを受け付け、送信、または保存するあらゆる組織に適用されます。
HIPAA（ ：医療保険の相互運用性と説明責任に関する法律）は、医療提供者が保護対象医療情報（PHI）をどのように取り扱うかについて、基準を定めています。 PHIには、氏名、生年月日、性別などの個人識別情報に加え、診断、治療情報、検査結果などの健康情報を含む、幅広い患者データが含まれます。 HIPAAは、PHIへのアクセス方法を規定するとともに、医療組織がその安全を確保するために実施しなければならない物理的、管理的、および技術的な保護措置を定めています。 また、データ漏洩が発生した場合に、医療施設がどのように対応すべきかについても触れています。 病院、診療所、介護施設をはじめ、顧客や患者と医療関連の取引を行うその他の事業者を含む医療施設は、HIPAAに準拠していなければなりません。
FERPA（ 、家族教育権利・プライバシー法）は、学生の教育記録のプライバシーを保護する連邦法です。 これらの記録は、どのような媒体であっても存在し得るものであり、通常、個人識別情報（社会保障番号、生年月日、性別、人種・民族）と学業情報（試験の得点、GPA、成績証明書、学資援助に関する情報）の両方が含まれます。 この法律は、保護者にいくつかの権利を認めており、その中には、子どもの教育記録を閲覧し、不正確な箇所を訂正する権利も含まれています。 また、これにより、保護者はお子様の記録に含まれる個人を特定できる情報の開示について管理できるようになります。 これらの権利は、学生が 18 歳になった時点、または大学に入学した時点で、直接その学生に移転します。 FERPAは、連邦政府からの資金援助を受けているすべての学校に適用されます。
NIST（ ：米国国立標準技術研究所）は、規制権限を持たない連邦政府機関であり、科学・技術産業向けの基準を策定することで、連邦政府機関や契約業者が「 連邦情報セキュリティ管理法（FISMA）」（）の要件を満たせるよう支援しています。 しかし、NISTの基準は、あらゆる組織がセキュリティを向上させ、PCI DSSやHIPAAといった連邦規制法に基づく情報漏洩を防止するのに役立ちます。 世界中の組織が、サイバーリスクを低減し、ネットワークやデータを保護するために、NIST（米国国立標準技術研究所）の「 （CSF）」サイバーセキュリティ・フレームワーク（ ）を採用しています。 NIST（ ）の連邦情報処理規格（FIPS）（ ）は、政府機関、請負業者、およびベンダーによって利用されています。 FIPS規格は、より広範な業界規格では対象とされていない状況に対する要件を定めており、さまざまなセキュリティプロセスに対する枠組みを提供しています。
CMMC（ 、サイバーセキュリティ成熟度モデル認証）は、国防総省が実施するプログラムであり、国防産業基盤（DIB）の請負業者向けに基準とベストプラクティスを定めたものです。 DIBの請負業者は機密性の高い政府データを扱っており、CMMCは、彼らが政府機関や軍事機関と同様の方法でそのデータを保護することを保証しています。 特に、CMMCでは、連邦契約情報（FCI）および 管理下にある非機密情報（ ：CUI）の保護について規定しています。
組織が留意すべきその他のセキュリティコンプライアンス基準としては、COPPA（児童オンラインプライバシー保護法）、CIS Controls（インターネットセキュリティセンターの制御基準）、およびFedRAMP（連邦リスク・認可管理プログラム）などが挙げられます。 また、毎年、新たな規制要件が施行されています。 組織は、自社の事業にどの基準や規制が適用されるかを理解しておく必要があります。コンプライアンス上の不備は、多額の罰金やコストにつながる可能性があるからです。
攻撃者はどのように機密データを取得するのでしょうか？
攻撃者が機密データを盗み出す方法は数え切れないほどあり、手口に長けたハッカーたちは、常にさらに巧妙な手法を開発し続けています。 最も一般的な手法には、次のようなものがあります：
- マルウェア（ ）（「悪意のあるソフトウェア」）とは、大まかに言えば、デバイスを悪用するように設計されたスクリプトやコード全般を指します。 攻撃者は脆弱性を悪用して、ユーザーが知らず知らずのうちに電子メールの添付ファイルやウェブ上のリンクからダウンロードしてしまうマルウェアをシステムに侵入させます。このマルウェアは、ユーザーのキー入力を監視したり、機密データを攻撃者のコンピュータに送信したり、パスワードを盗み出したりするなど、さまざまな悪意のある行為を行う可能性があります。 マルウェアは、拡散が容易で、非常に効果的であるため、特に広く利用されています。
- フィッシング とは、攻撃者が正当な機関からのもののように見せかけた電子メール、テキストメッセージ、または電話を利用して、標的を騙し、ログイン認証情報やクレジットカード情報などの機密情報を開示させるソーシャルエンジニアリング攻撃の一種です。 コロナ禍においてフィッシング詐欺が増加傾向にあり、 2021 におけるデータ漏洩の36％を占めており、これは前年比で 11％の増加となっています。
- クロスサイトスクリプティング（ 、XSS）: ハッカーは、XSS攻撃を利用して、JavaScript、Flash、HTMLなどの一般的なプログラミング言語で記述された悪意のあるスクリプトやコードを、ウェブサイトのコンテンツに埋め込みます。 その後、ユーザーがそのサイトにアクセスすると、ユーザーのブラウザ内で悪意のあるスクリプトが実行され、ハッカーはクッキーを盗み出し、ログイン情報、クレジットカード番号、その他の機密情報など、ユーザーがそのサイトに送信するあらゆる情報を傍受することが可能になります。
- デバイスの盗難： 機会を伺う犯罪者は、ユーザーのデバイスに物理的にアクセスするだけで、機密データを盗み出すことができます。 データ漏洩の一般的な原因の一つは、無人のまま放置されたデバイス、つまり車内やカフェのテーブルに置き忘れられたノートパソコンなどです。 一度誰かの手に渡ってしまえば、特にその端末にパスワードによる保護や暗号化が施されていない場合は、機密データの宝庫にアクセスできてしまうことになります。
機密データは通常、どこに保存されていますか？
機密データは、あらゆる場所に存在する可能性があります。 データは毎日、数多くのデバイス、ユーザー、アプリ、サービスの間を行き来しています。 そのため、特にネットワークの外に出た後は、そのセキュリティを確保することが極めて困難になる可能性があります。 例えば、安全な集中管理サーバー上に保存されているファイルは、従業員が個人のノートパソコン（そのセキュリティレベルはほぼ間違いなくサーバーと同等ではない）にコピーをダウンロードし、作業終了後にそのファイルを削除し忘れた場合、情報漏洩のリスクにさらされる可能性があります。 機密データは、バックアップサーバーやハードディスクにも保存されている場合があります。
機密データの保護はなぜ難しいのでしょうか？
繰り返しになりますが、機密データの保護における大きな問題の一つは、そのデータがあまりにも多くの場所に分散していることです。そのため、見つけることさえ困難であり、ましてや保護することはなおさら難しいのです。 こうした場所の中には、従業員のノートパソコンやUSBメモリのように、頻繁にネットワークから切断される場合があり、その結果、企業がデータを把握できる範囲が制限されてしまいます。 機密データの保護には、セキュリティと利便性の間の微妙なバランスも求められます。 ユーザーは特定の文書にアクセスする必要がありますが、そのアクセス権を得るには、さらに上流の権限が必要になる場合があります。 この問題を軽減するためには、企業は権限の付与とセッションの終了の両方について厳格なプロセスを定めるとともに、デバイスから残存データを確実に削除する必要があります。 機密データの監視ツールは、こうした課題の多くに対処するのに役立ちます。
機密データの監視ツールはどのように機能するのでしょうか？
機密データの監視ツールには、2つのアプローチがあります。 1つはネットワークベースのもので、サーバーから一元管理されたソフトウェアがネットワーク上のすべてのデバイスをスキャンし、機密データを検出します。 しかし、この方法はネットワーク帯域幅を圧迫するため処理が遅く、また、社内ネットワーク外のデバイスにはアクセスできないため、死角が生じる可能性があります。
もう一つのアプローチでは、クライアント中心のアーキテクチャを採用し、すべてのエンドポイントにわたって機密データを検索します。 ネットワークのパフォーマンスへの影響ははるかに軽微であり、機密データの初期スキャンを一度実行すると、エンドポイントをリアルタイムでインデックス化し続け、スキャン結果を常に最新の状態に保ちます。 また、ソフトウェアはエンドポイントに直接インストールされるため、デバイスが社内ネットワークに接続されていない場合でも、機密データのスキャンを行うことができます。
機密データ監視ツールの主な機能にはどのようなものがありますか？
どのような新しいツールにおいても、使いやすさと、現在ご利用中の技術との互換性は、最も重要な検討事項となります。 その他、注目すべき機能としては次のようなものがあります：
- エージェントベースのスキャン： エージェントベースの監視ツールでは、スキャン対象の各デバイスにソフトウェアパッケージ（「エージェント」）をインストールします。 各エージェントは、ホストマシンから関連するセキュリティデータを収集し、それを収集サーバーに送信します。 これにより、デバイスがオフラインの場合や組織のネットワーク外にある場合でも、スキャンを行うことが可能になります。 エージェントベースの監視ツールは、ネットワークベースのツールよりも軽量であるため、ネットワークへの負荷を軽減することができます。
- 複数のファイル形式およびオペレーティングシステムのサポート： 機密データ監視ツールは、Windows、Mac、Linuxのエンドポイント上で、Word、Excel、PDFなど、一般的なさまざまなファイル形式のデータを取得できる必要があります。
- すぐに利用できる規制関連コンテンツ： このツールは、GDPR、PCI DSS、HIPAA、CCPA、およびその他の規制関連のユースケースについて詳細な可視性を提供し、法的要件の変更に応じて、データプライバシー要件に関するレポート作成や対応を迅速に行えるようにします。