 |
 |
|
|
| 最新ニュース |
|
|
|
|
|
|
||||||||||||||||||||||||
|
||||||||||||||||||||||||
|
||||||||||||||||||||||||
|
「87％の情報漏えいが簡単な対策で回避できるはずだった」－米Verizon |
||||||||||||||||||||||||
|
||||||||||||||||||||||||
|
500件の漏えい事例から分析
|
||||||||||||||||||||||||
|
||||||||||||||||||||||||
|
||||||||||||||||||||||||
|
||||||||||||||||||||||||
|
||||||||||||||||||||||||
同報告書では、「データ漏えい侵害のうち87％は簡単なセキュリティ対策で回避可能だった」と指摘している。その詳細な状況について、調査研究を統括するセキュリティソリューション リサーチ＆インテリジェンス バイスプレジデントのDr. Peter Tippett氏に話を聞いた。 なお調査対象は小売業（35％）、飲食業（20％）、金融（14％）、テクノロジーサービス（13％）、製造（5％）と幅広い。今回は実際にデータ漏えいが発生した企業を対象としているため、ここに挙げた数字はそのままデータ漏えいの業種別割合と見ることができる。 ■ 多いのは内部犯行？ それとも外部犯行？
今回の結果は、外部犯行が73％とまったく逆の結果となっているのが特筆点。外部犯行として2007年から急増している、SQLインジェクションによるWebサイト改ざん事件が底上げしたのかとも思うが、同氏は「今回の調査はデータ漏えいの実例のみをサンプルとしているため、Webサイトを改ざんしてウイルスをダウンロードさせるだけの一連のSQLインジェクション事件は含んでいない」と否定。他社データとの相違については、「当社の調査が実例を基にしたものであるのに対し、ほかの調査はアンケートを基にしたものがほとんど。そのため実態とはなれた結果がでているのでは」としている。 ただし、外部犯行による漏えいは件数は多いものの、1件あたりの流出情報量が少ないためインパクトは少ないという。それよりも危険なのが、パートナー経由での漏えいだ。2006年から2007年にかけて、このケースによる漏えいが増加。流出情報量もそこそこ多いため、結果として外部犯行や内部犯行よりも、件数と流出情報量を掛け合わせて算出されるリスク値は高くなっているというのだ。 この理由については、「昨今、Extended Enterpriseによるパートナー連携が広まっている。1つの案件に数社がかかわり、情報が共有される。さらにパートナーに特権レベルのデータアクセス権限を与えたまま放置するケースも多く、こうした背景が、パートナー経由の漏えいを増加させる要因となっている」としている。 ■ ポリシーを実践することが肝要 漏えいの手段・手口としては、エラーによるものが62％、ハッキングによるものが59％、不正コードによるものが31％、誤用・乱用によるものが22％、物理的手段によるものが15％、詐欺によるものが10％といった結果になった。全部足すと100％を超えるのは、個々の手段・手口が組み合わされているためとのこと。このうち最多のエラーによる漏えいに着目すると、社内ポリシーがあったのにもかかわらず、実践していなかったため漏えいしてしまったケースが最多で79％。「きちんと社内ポリシーを順守しているだけで漏えいは免れたはずで、単純なミスといえる」とした。 ハッキングによる漏えいに着目すると、アプリケーションレイヤからの攻撃が最多で39％。「特にWebアプリが標的となっており、クロスサイトスクリプティングやSQLインジェクション、アプリケーションバッファオーバーフローなどが、さまざまな手法と組み合わされて利用されている。攻撃が段階化していることを示しているが、これはWebアプリに限ったことではなく、ほとんどの攻撃に関していえること。守る側としては、どこかのステップで攻撃を断ち切る必要がある」とした。 不正コードによる漏えいでは、スニファーやスキャナーと呼ばれるツールをシステムに埋め込まれるケースが58％を超えていた。Webブラウザの脆弱性は「心配していたほど多くなく、全攻撃の3％くらいだった」という。また、ノートPCやUSBメモリの紛失・盗難による漏えいも意外に少なく、全体の1％に満たなかった。 なお、漏えいしたデータで多かったのは、PIN（個人識別情報）が32％、クレジットカード情報が84％。いずれも金銭につながる情報で、犯罪の組織化・プロ化をまた1つ裏付ける結果となった。
■ 大半の漏えいが手ごろな対策で回避できた
発見経緯としては、第三者による報告によるものが75％。さらに、システムの不具合などから偶然発見できたケースが18％を占め、発見すべき担当者が能動的に発見できたケースはわずか7％だった。 「自ら発見できないのは、データの管理が不十分だから。データの存在は知っていたが、まさかこんなところに保管されているなんて、というケースがあまりに多かった。重要データを特定し、しかるべきところに保管した上で、追跡・評価することが極めて重要。また82％のケースでは、ログさえあれば攻撃の兆候を事前に見つけることができた。ログ管理、アラートの仕組み、そうした簡単な対策だけでもだいぶ対応できる。実際、87％のケースが手ごろなセキュリティ対策で回避可能だったのだから」とした。 ■ ＵＲＬ ベライゾンジャパン合同会社 http://www.verizonbusiness.com/jp/ ■ 関連記事 ・ 「日本情報漏えい年鑑2008」が公開、内部犯行による漏えいが73％（2008/04/30）
（ 川島 弘之 ）
|
