ベネッセの情報漏洩の本質とは - デジタルアーツが解説

デジタルアーツは8月6日、「最近の事例からみるこれからの情報漏洩対策とは」と題して、記者説明会を開催。この1年間で発生した重大なセキュリティインシデントについて分析し、対策を説明した。

同社が説明したこの1年間で発生した重大な情報漏洩インシデントとは、「トヨタ、ホンダ、東芝、日立、パナソニック、ソニーなど、日本の大企業の社外秘資料が中国のバイドゥに大量にアップされていた事件」、「東芝の最新の半導体研究データが不正に持ち出され、韓国の競合企業に流失した事件」、「ベネッセ事件」の3つだ。

最近大きな注目を浴びたベネッセの情報漏洩事件について、デジタルアーツ エンタープライズマーケティング部 担当部長 本澤直高氏は、「DBのアクセス制限、ダウンロードアラート、ユーザーIDの制限、ログトラッキング、各種業務ルールなど、標準以上の漏洩対策防止策は行われていた。しかし、たまたまつないでみたスマートフォンが穴をついてしまった」と説明。

その上で、この事件の重要なポイントとして、「いくら漏洩防止策を行っても100%防げない現実がある」、「内部の悪意者が通常業務のように正規ルートでデータを入手している」という2つをあげ、「いくら対策をしても、通常業務のように正規ルートでやられるとどしようもない。東芝の問題も同じだ」と述べた。

そして、この対策として同氏は、ファイルの暗号化を人が意識せずに行うことを勧めた。

本澤氏は、「ファイルが流失しても、中の情報は漏洩させないという発想の転換が必要だ」とその理由を説明。これを実現する製品として、同社のFinalCodeを紹介した。

同氏は、FinalCodeの特徴を、「あとからファイルを消せるのはFinalCodeだけだ。そのため、流出したファイルが勝手に複製・拡散してもリモートで一括消去ができる」とアピールした。

もう1つの重大事件であるバイドゥのケースについて本澤氏は、間接情報漏洩だと説明。間接情報漏洩とは、業務委託などでCAD、図面データ、生産管理のための情報など、どうしても重要なファイルを相手企業の渡さなければならない場合に、委託先から漏洩するケースを指す。

本澤氏によれば、このようなケースでもFinalCodeが有効だという。同氏はその理由として、閲覧者、閲覧期間、閲覧できる回数を指定できるためファイル開封後の操作を制御できる点や、いざとなればリモートで消去できる点を挙げ、「FinalCodeを利用することで、3つの事件での情報漏洩を防ぐごとができた」と、その有効性を強調した。