第1回：ワークスタイル変革における主なITサービスとデバイス、そしてセキュリティ上の課題

ITサービス セキュリティ デバイス

インターネットの通信回線が高速化する中、高機能なスマートフォンやタブレットが出回り、これらに併用されるクラウドサービスやソーシャルサービスなど、あらゆるITサービスが市場に普及してきました。
豊富なインターネット回線と先進するITサービスに囲まれたビジネスマンは、今や時間も場所も選ばず、スマートフォンやタブレットを活用し仕事を行うといった自由なワークスタイルに変化してきています。
その一方で、社員が独断で、フリーのITサービスを業務に利用し、その結果、企業の機密情報が漏洩してしまった、というケースも増えてきています。

今回の連載テーマは、「どう防ぐ？ワークスタイル変革におけるITサービスやデバイスからの情報漏洩」と題し、第1回目のでは、ワークスタイル変革において、ビジネスマンに最もよく利用されているITサービスとデバイス、そして、これらのセキュリティ上の課題について取り上げていきます。

代表的な4つのITサービス

代表的なITサービスとして、オンラインストレージ、グループメール、ウェブメール、ソーシャルネットワーキングサービスの4つをご紹介します。

・ウェブメール
例：Gmail、Hotmail、Yahoo!メールなど
ウェブメールとは、インターネット上で利用することができるメールサービスです。
わざわざメール専用のソフトをPCにインストールしなくとも、既存のウェブブラウザ画面で、メールの作成や、送受信を行うことができます。
一部のビジネスユーザーでは、会社のメールソフトに届いたメールを、プライベートで使用しているウェブメールに自動転送し、外出先からスマートフォンやタブレットで閲覧するといった、自由なワークスタイルを選んでいます。
最近では、ウェブメール自体を、会社公認のメールソフトとして採用している企業も少なくありません。

［セキュリティ上の課題］
一般的によく利用されているITサービスのログインIDとパスワードが、盗み取られるという悪質なケースが増えてきています。
具体的には、複数のITサービスで、同じIDとパスワードを設定している場合、１つでも流出してしまえば、悪意を持ったユーザーによる不正ログインによって、送受信しているメールに書かれている内容から、個人情報はおろか、誕生日や、住所、電話番号、さらには銀行口座やクレジットカード番号など、あらゆる重要な情報が漏洩する恐れがあります。

・グループメール
例：GoogleGroupなど
グループメールとは、作成したグループにメンバーを追加することで、参加メンバー全員に一斉にメールができるといったメールサービスです。
一斉にメールできることで、プロジェクトごとの情報を共有したり、議論したりすることができます。

［セキュリティ上の課題］
共有すべき情報の範囲やメンバーを設定しておかないと、内容が不特定多数に公開されてしまう恐れがあります。

・ソーシャルネットワーキングサービス（SNS）
例：Facebook、LINE、mixiなど
ソーシャルネットワーキングサービス（SNS）とは、コミュニティ型のウェブサービスです。実名や匿名で会員となり、共通の趣味や地域、出身校などでつながった会員同士がコミュニケーションを構築していく場です。
日記や写真を投稿したり、これについて会員同士がコメントを投稿したり、第三者の会員に向けて共有するともできます。

［セキュリティ上の課題］
手軽に投稿することができるため、実名や所属する会社名を公開していた場合に、うっかり発表前の商品情報や顧客情報といった機密情報を投稿してしまうという人的ミスのケースが起きています。

・オンラインストレージ
例：Dropbox、Evernote、SugarSyncなど
オンラインストレージとは、サーバの記憶領域を、インターネットを介し、ネットユーザーに貸し出すサービスです。借りた記憶領域にファイルを保管したり、複数の人で同じファイルを共有したりすることができます。業務ファイルをオンラインストレージに保管すれば、外出先からもファイルにアクセスすることが可能になるため、いつでもどこでもPCやスマートフォン、タブレットでファイルを閲覧、編集することができるようになります。

［セキュリティ上の課題］
複数の人でファイルを共有したり、社外からアクセスしたりすることができるため、社外の人物からもアクセスされる恐れがあり、それ故、重要な情報が外部に漏れる危険性があります。

代表的な3つのデバイス

次に、企業やビジネスパーソンが利用している、代表的なデバイスや周辺機器を取り上げてみます。

・スマートデバイス
スマートデバイスとは、携帯電話、スマートフォン、タブレットなどの総称です。
インターネット回線さえ整えば、いつでもどこでもITサービスを利用することができ、基本的には、スマートデバイス専用に作られたアプリケーションをインストールし、
ウェブブラウザをはじめとする、ウェブメール、グループメール、SNS、オンラインストレージといったサービスを活用できます。

［セキュリティ上の課題］
インストールするアプリケーションの中には、マルウェア［注］と呼ばれる不正なプログラムが仕込まれたものもあり、知らないうちに個人情報が漏洩するといった恐れがあります。
また持ち運びに便利な反面、紛失による情報漏洩といったリスクも兼ね合わせています。

［注］マルウェアとは
マルウェアとは、「悪の」という意味を持つ「mal」と「ソフトウェア（software）」を掛け合わせた言葉で、別名「不正プログラム」とも呼ばれています。コンピュータウイルス、ワーム、スパイウェア、トロイの木馬などに代表される悪質なコードやソフトウェアなどもこれに含まれます。

・USBメモリ
USBメモリとは、データを記録させ、持ち運びができる記憶装置です。インターネットを介さなくとも、手渡しでデータのやり取りを行うことができます。

［セキュリティ上の課題］
機密情報が入ったUSBメモリを社外に持ち出し、それを紛失したり、意図的に第三者に渡すことにより情報が漏洩したりする恐れがあります。

・モバイルWi-Fiルータ
モバイルWi-Fiルータとは、無線LAN機能と、WAN機能を兼ね備えた、携帯用通信機器です。物理的にケーブルと接続しなくとも社内ネットワークやインターネットに接続することができるので、いつでもどこでもインターネットを利用することができます。客先から社内のネットワークにアクセスして、社内の資料ファイルを閲覧したり、また、編集・変更を加えたファイルをウェブメールで送信したり、あるいはオンラインストレージサービスなどに保管することもできます。

［セキュリティ上の課題］
モバイルWi-Fiルータが、会社から許可されていない個人所有であった場合、外出先での紛失や、プライベートとデバイスを共用することによる企業情報の流出、そして情報漏洩の恐れがあります。場合によっては、ソーシャルサービスなどを利用している最中に、プライベートな情報と企業名が同時に投稿されるといった人的ミスのケースも少なくなく、こういったケースは個人情報だけでなく、会社にとっても社会的な信頼を失う最悪のケースも考えられます。

このように、先進するITサービスによるワークスタイル変革は、「会社の管理下にないサービスやデバイス」を多く生み出し、企業にとっては大変リスクの高い要因をつくります。
そして、特に注意すべきことは、ITリテラシーの高い社員ほど、個人所有のデバイスを利用し、様々なITサービスを駆使している、ということです。果たして、情シス担当者であるあなた自身は大丈夫ですか？

次回は、ITサービスの隠れた落とし穴とされているオンラインストレージやグループメールなどのリスクとその事例を取り上げていきます。