0. デジタルアーツのご紹介 1. Office365 による利便性の向上とリスク 2. 情報漏洩対策の IRM ソリューション (Information Rights Management) 3. IRM を補完する FinalCode 4. まとめ 2

(1)

2014年8月20日（水）Sier必⾒！ BCN×ソフトバンクコマース＆サービス共催セミナー Microsoft Cloud&Solutions 2014 〜クラウドファースト、モバイルファースト時代に掴む商機〜『Office365 安全性強化』[S-4]

クラウド時代に必要な、

「渡した後でも“あとから消せる”」

究極のファイルセキュリティ

FinalCodeのご紹介

デジタルアーツ株式会社エンタープライズ・マーケティング部プロダクト・マーケティング２課萩原剛志

(2)

0. デジタルアーツのご紹介

1. Office365による利便性の向上とリスク

2. 情報漏洩対策の「IRM」ソリューション

（Information Rights Management）

3. 「IRM」を補完するFinalCode

(3)

0. デジタルアーツのご紹介

Web サーバーサーバーサーバーサーバー, プロキシプロキシプロキシプロキシメールメールメールメールサーバーサーバーサーバーサーバースマートスマートスマートスマートデバイスデバイスデバイスデバイス, PC デジタルアーツは安全なインターネット社会の実現を目指し、インターネットアクセスに伴う危険を未然に防止するWebやメール関連の情報セキュリティソリューションを提供。さらに、経路を問わず情報漏洩の原因になりうる”ファイルそのもの”へのセキュリティとして、FinalCodeを提供している。スマートデバイススマートデバイススマートデバイススマートデバイス, PC, ゲーム機ゲーム機ゲーム機ゲーム機, テレビテレビテレビ, etc.テレビファイルファイルファイルファイル

インターネット

(4)

1-1. Office365の利便性

スマートスマートスマートスマートデバイスデバイスデバイスデバイス, PC Office365は社内にサーバー等のリソースを持たずに、メールやスケジュール、オンライン会議、ナレッジ共有等を実現するクラウドサービス。システムの構築・維持費⽤が不要になり、スマートデバイスを⽤いることで社外からのアクセスも容易にできる。ファイルファイルファイルファイル

インターネット

Web サーバーサーバーサーバーサーバー, プロキシプロキシプロキシプロキシメールメールメールメールサーバーサーバーサーバーサーバーファイルファイルファイルファイルサーバーサーバーサーバーサーバー Exchange Online Office365 SharePoint Online Lync Online Office 365 ProPlus

(5)

1-2. 利便性の向上に潜むリスク

スマートスマートスマートスマートデバイスデバイスデバイスデバイス, PC ⼀⽅、従来は社内でしかアクセスできなかった情報に社外からもアクセスできるようになるため、情報漏洩のリスクも高まる。それは「クラウドだから危ない」という印象や、技術的なセキュリティレベルが低いからではない。ファイルファイルファイルファイル

インターネット

Exchange Online Office365 SharePoint Online Lync Online Office 365 ProPlus Web サーバーサーバーサーバーサーバー, プロキシプロキシプロキシプロキシメールメールメールメールサーバーサーバーサーバーサーバーファイルファイルファイルファイルサーバーサーバーサーバーサーバー

(6)

1-3. 情報漏洩のリスク分析

情報漏洩の要因を４つに分類。クラウド化やスマートデバイスの普及によってリスクが⾼まるのは、正規のアクセス権限をもつ社員が不正に情報を流出させる③「内部の悪意」、および社外との情報共有が便利になることで、その社外から漏洩する④「間接情報漏洩」の機会が増えることによる。

社外

（海外拠点、協⼒会社、など）

②人為的ミス

（誤送信、管理ミス、

_etc）

③内部の悪意

（不正持出し、

etc

）

自社内

①外部からの悪意

（ウィルス、標的型攻撃、etc）

④間接情報漏洩

重要

(7)

1-4. 近年の重⼤な情報漏洩事件

今年3⽉には、元技術者が研究データを競合企業に流出させるという事件が発覚。また、今年7月には史上最⼤級の個⼈情報漏洩事件があった。両者の共通点は、いずれも正規ルートで重要な情報にアクセスできる⼈が悪意をもって情報を持ち出したことにある。対策の１つは“情報そのもの”を守ることにある。

2014

2014年

年

年3

3

3 3月

月

A

A社の最新の半導体研究データが韓国競合

社の最新の半導体研究データが韓国競合

企業

企業X

X

X社に流出。

X

社に流出。

A

A社在籍中にサーバーにアクセス権のあった

社在籍中にサーバーにアクセス権のあった

元技術者が

元技術者がUSB

USB

USBメモリーにコピーして持ち出

メモリーにコピーして持ち出

した疑い。

2014

2014年

年

年7

年

7 7月

7 月

月

B

B社の

社の

社の2,260

2,260

2,260万件にもおよぶ個人情報が流出

2,260

万件にもおよぶ個人情報が流出

し複数の名簿業者に拡散。

流出元はデータベース運用委託先のシステ

ムエンジニアで、データベースから情報をダウ

ンロードし、スマートフォンにコピーして、不正

に持ち出した後、名簿業者に売却した模様。

2つに共通する本質的なイシュー：

“内部の悪意”が通常業務を装って正規アクセスルートを活⽤して

機密情報を不正持出しするのを防ぐにはどうしたらいいか？

情報は必ず「ファイル」の状態で動く。

情報漏洩対策の肝はファイルにあり。

(8)

印刷印刷印刷印刷

2-1. 「IRM」による情報漏洩対策

“情報そのもの”を守る考え方に「IRM」(Information Rights Management）がある。これには、閲覧できる人を限定し、未知の第三者には閲覧されないようにすることや、ファイルの印刷や改変を防ぎ、また閲覧可能な期間や回数を設定したりすることが含まれる。パスワードも不要。作成者作成者作成者作成者受信者受信者受信者受信者未知の未知の未知の未知の第三者第三者第三者第三者

従

来

I

R

M

改変改変改変改変 _公開、_公開、_公開、_公開、再利用再利用再利用再利用閲覧閲覧閲覧閲覧作成者作成者作成者作成者ファイルに対するファイルに対するファイルに対するファイルに対する権限を自由に設定権限を自由に設定権限を自由に設定権限を自由に設定 ※ ※ ※ ※パスワードロックをしても、パスワードロックをしても、パスワードロックをしても、パスワードロックをしても、解除した後は同じ解除した後は同じ解除した後は同じ解除した後は同じ文書が文書が文書が文書が流出流出流出流出印刷印刷印刷印刷受信者受信者受信者受信者未知の未知の未知の未知の第三者第三者第三者第三者改変改変改変改変 _公開、_公開、_公開、_公開、再利用再利用再利用再利用閲覧閲覧閲覧閲覧文書が文書が文書が文書が流出流出流出流出 ※ ※※ ※パスワードなしで暗号化パスワードなしで暗号化パスワードなしで暗号化パスワードなしで暗号化

(9)

2-2. Office365のRights Management

MicrosoftはOffice2003でIRM機能を実装。Office365ではRights Managementサービスが提供され、従来のWindows Server構築やRights Management Services(RMS)との統合は不要（RMSはクラウド側で統合されている）。

「Office 2013 で Information Rights Management を計画する」より抜粋 Microsoft Azure Rights Management IRM（ファイル） Office365 Message Encryption（メール） Officeのファイルとメールの暗号化/権限制限が可能。 Exchange Onlineや SharePoint Onlineと連携させて利⽤することができる。

(10)

2-3. 「IRM」による情報漏洩対策

AzureではActive Directory Rights Management（ADRM）が提供されており、ADの範囲でIRMを適用することが可能。「内部の悪意」に対するIRMソリューションは、社員の情報セキュリティに対する意識向上にもつながる。⼀⽅、情報システム担当者が⾃動で制限をかけるポリシー運⽤も不可⽋。スマートスマートスマートスマートデバイスデバイスデバイスデバイス, PC ファイルファイルファイルファイル

インターネット

Web サーバーサーバーサーバーサーバー, プロキシプロキシプロキシプロキシ Exchange Online Windows Azure Active Directory

Rights Management Active Directory IRM Office365 Office365 Message Encryption

(11)

3-1. 「IRM」を補完するFinalCode

ここまで③「内部の悪意」への対策としてMicrosoftのIRMについて解説した。ここから異なる⼟俵で情報漏洩対策にフォーカスするFinalCodeについて紹介する。FinalCodeのメインテーマは「”社外”に出さざるを得ない重要なファイルをいかに守るか」で、特に④「間接情報漏洩」に焦点を当てる。

社外

（海外拠点、協⼒会社、など）

②人為的ミス

（誤送信、管理ミス、

_etc）

③内部の悪意

（不正持出し、

etc

）

自社内

①外部からの悪意

（ウィルス、標的型攻撃、etc）

④間接情報漏洩

重要

(12)

3-2. ２種類の“社外”と「間接情報漏洩」

”社外”には２種類あり、重要なファイルを渡さない「完全社外」と、近年は海外拠点や委託先など「重要なファイルを共有する必要はあるが、セキュリティガバナンスが効きにくい社外」とがある。最近の情報漏洩事件でも「委託先の社員」が正規のルートで情報を持ち出すケースがみられる。

社内

海外拠点・グループ会社

完全社外

秘

ファイルの共有

重要ファイルを流通させる

ガバナンスが効きにくい

重要ファイルは流通するが

セキュリティ・ガバナンスは効きにくい

秘

海外拠点・グループ会社

委託先など

海外拠点・グループ会社

委託先など

(13)

3-3. 情報漏洩後の「⼀括削除」要件

先述のB社の情報漏洩事件を受けて、政府は事後の「⼀括削除」対応を法制化する⽅向で検討。従来は「流出した情報は取り返しがつかない」というのが実情だったが、これにシステム的に対応できるのがFinalCode。

2014

2014年７月

年７月

年７月11

年７月

11 11日

11 日

日

菅官房長官はB社でのインシデントを受け、「個人情報

が流出・拡散した場合、その情報全体を一括して利用

できないようにする法改正の方向で政府として考えて

いる」と記者会見を行った。

これをシステム的に実現するのが、

流出したファイルが勝⼿に複製・拡散してしまっても、

リモートで一括消去ができる、唯一のソリューション

「

_FinalCode」

(14)

3. 「IRM」を補完するFinalCode

(15)

3-5. FinalCodeでできること一覧

閲覧者と閲覧期間・回数を指定し、ファイル開封後の操作（編集・コピペ・印刷）も制御でき、

ファイルが世界中のどこに⾏ってもアクセス履歴がリアルタイムで完全に追える。

さらに、いざとなれば“リモートであとから”消せる、究極のファイルセキュリティ

(16)

3-6. B社の情報漏洩対策レビュー

標準以上の漏洩防⽌策はされていた。

しかし、、、

顧客DB

ダウンロード

用サーバー

DBアクセス制限

ダウンロード時アラート

DB接続可能なPCの制限

ユーザーIDの制限

ログのトラッキング

各種業務ルール

USBメモリーの無効化

たまたま繋いだスマート

フォンが穴を突いた...

(17)

3-7. 運⽤例①：DBデータの持ち出し対策

B

社の

ケースへの解

顧客DB

ダウンロード用サーバー

APIをかませて、

DBからダウンロードされるファイル

を全て捕まえて強制的に暗号化

してしまう

認証されている社内の特定端末

上記以外の端末全て

（社内・外問わず）

閲覧のみファイル自動削除ダウンロードしたファイルは全て暗号化状態

(18)

3-8. 運⽤例②：フォルダー内の⼀律暗号化

A

社の

ケースへの解

ファイルサーバー

で監視

フォルダー内のファイルは全て自動で暗号化状態に

「@sample.com」の

ドメインで認証されている

社内端末

自社社員のPCであればファイルを閲覧・編集は可能であるため、通常通りの業務は可能。ただし、コピーペースト・スクリーンキャプチャ・印刷の操作はブロックされているため、ファイルの中のデータを不正に外に持ち出すことは防げる

流出したファイルを

開けようとしている

社外の端末

ファイルを開封できない。不正アクセスの瞬間ファイルが自動的に消滅し、そのログが残り、リアルタイムでアラートが管理者に届くファイル自動削除閲覧・編集

(19)

4. まとめ

スマートスマートスマートスマートデバイスデバイスデバイスデバイス, PC 情報が⼤量に複製され、そのアクセスが便利になるクラウド化・スマートデバイス普及の時代では、「内部の悪意」や「間接情報漏洩」のリスクが⾼まる。そこで_{”情報そのもの”に施すIRMソリューションが有効。} これからは情報が“どこにいっても”、作成者の権限・管理を及ぼすことで漏洩を未然に防⽌する。さらに万が⼀ファイルが流出しても中の情報は閲覧されず、後から「⼀括削除」できることが重要。ファイルファイルファイルファイル

インターネット

Web サーバーサーバーサーバーサーバー, プロキシプロキシプロキシプロキシ

FinalCode

(ASP) Active Directory Exchange Online Windows Azure Active Directory

Rights Management IRM

Office365

IRM

Office365 Office365 Message Encryption

(20)