境界のセキュリティ防御には多くの組織が尽力していますが、境界内のデータを保護することにはあまり関心が持たれていないようです。境界内部の機密データが暗号化されていれば、たとえネットワークが侵害されたとしても、機密データを保護することが可能であり、内部のデータ保護は行うに越したことはありません。

最近のデータ侵害の統計情報や証拠を再確認するまでもなく、金融資産のデータ、臨床データ、社会保障情報、パスポート、運転免許証番号などの機密データはサイバー犯罪者が狙うターゲットです。これらを狙った数多くのデータ侵害事件が起きていますが、人的ミスやセキュリティの欠如が根本原因になっている場合が多々あります。

データ侵害の被害を被らない万全の方策はあり得ませんが、侵入したハッカーがやすやすと利益をせしめる前に障壁を設けることは可能です。

侵害された企業がデータを暗号化していなかった場合、その企業には過失責任があります。転送中だけでなく保管中にも機密データのセキュリティ確保のために暗号化は必須ですが、データを暗号化していない会社の担当者は、ハッカーがどんな風に考え何をしようとしているのか、よく理解していないのではないかと疑わざるを得ません。クライアントやサプライヤのデータを含む、あらゆるデータを保護するには、どのようなデータセキュリティ施策が必要でしょうか？

スクリプトなしでワークフローの自動化が可能です。

サイバーセキュリティ・プランの一環としてのデータ保護

現在は、多くの企業がサイバーセキュリティ・プランを策定しています。可能な攻撃ベクトルに焦点をあてて、ITインフラストラクチャに既知の脆弱性があれば対処し、セキュリティ意識を高めるトレーニングを行ったりすることが含まれると思います。脅威に関する最新情報を入手するために、クラウドソースのソリューションや自動化された脅威インテリジェンスソリューションを利用することもあります。このような対策はすべて重要ですが、忍耐強いハッカーが突破口を見出して侵入する可能性をゼロにすることはできません。また、フィッシング攻撃を成功させてしまう人的エラー、ランサムウェアの起動、ネットワークアクセスを許可してしまう不正なソフトウェアのインストールなどの、内部からの脅威を防御することは非常に困難です。ハッカーはとにかくネットワーク上を探し回って、なんとかして機密データを見つけてダウンロードしようと試みます。

企業がインフラストラクチャのセキュリティだけに頼っていて、データが保護されていない場合は、そのデータにアクセスするのは狡知に長けたハッカーにとっては子供の遊びです。また、ハッカーは、脆弱性を発見したら、脆弱性を報告して報奨金を手にするようなことはせず、セキュリティ会社に発見される前の絶妙なタイミングを待ってそれを利用します。セキュリティ業界とハッカー・グループはいたちごっこを繰り返しています。セキュリティ対策が高度に進化しても、ハッカーはさらに複雑な攻撃手法を考案して対応します。

このような状況において、侵害が発生するのは可能性があるかどうかではなく、いつ発生するかという時間の問題になります。侵害発生時に備えて、データを保護するという明確なステップを追加しない手はありません。特にデータ保護法や、PCI-DSS、HIPAA などの義務要件で、コンプライアンスを徹底する必要がある場合は、データを暗号化で保護することは論理的な施策です。データ侵害を受けた違反者は、評判を落とすだけにとどまらず、多額の制裁金を科せられることになります。

データ保護の強化が肝要です。銀行の警備にたとえると、すべての入り口に武装した警備員を配置しながら、金庫の鍵を開けたままにしておくようなものです。そんな銀行があるでしょうか。1人の警備員がポストを離れるか、または倒されてしまえば、銀行強盗は簡単に成功します。

金融サービス業界では多くのデータ侵害が成功していますが、少なくとも物理的セキュリティの観点からは、鍵がかかった金庫は安全です。金庫に鍵をかけることはサイバーセキュリティでは暗号化にあたり、ネットワークを侵害したハッカーが、鍵がかかった金庫の前で、中に入っている機密データにアクセスできずに立ち往生してくれれば、ラッキーです。

決して難しい概念ではありません。

ランサムウェア攻撃がどのように行われるかについて、実際の例をまじえて詳細に解説したホワイトペーパーをお読みください。

マネージド・ファイル・トランスファーで総合的なデータセキュリティを強化

全体的なサイバーセキュリティ・プランの重要な部分としてデータ保護を取り入れることはそれほど大変なことではありません。次のようなポイントで考えてみてください。

• データはどこにありますか？

データがどこに格納されているかがわかれば、そのデータを保護する方法を考えることができます。権限のある人がアクセスするための許可を与える形で、集中化されたデータ管理を行うようにします。

• 機密データを保管していますか？

従業員データも機密データであり、ほとんどの会社があてはまるでしょう。アイデンティティ盗難されたり、ハッカーがそれを使って金銭的な利益を得られる場合は、すべて機密データと見なされます。

• データは共有されていますか？

部門間で、物理的に離れたサイト間で、または承認されたパートナーとの間でデータを共有する必要が生ずることはよくあります。データを共有する相手側も、データプライバシーに関する規制を遵守している必要があります。データ侵害が発生した場合、データのソースとなった組織も責任を問われる可能性があります。

•  データはすべての時点（移動中と保管中）で暗号化されていますか？

これは、データ保護の最低限の要件です。

• 人的ミスがデータセキュリティに影響を及ぼす可能性はありますか？

ファイル転送の量が多く、またスタッフのセキュリティ意識が十分でない場合は特に、人的ミスによりデータ侵害が発生する可能性があります。スケジューリング、ワークフロー最適化、アクセス許可管理などで、可能な限りファイル転送の自動化を行うことにより、人的ミスの可能性を減らすことができます。

• 既存プロセスがデータセキュリティ低下につながっていませんか？

この機会に、ワークフローを合理化し、VoIPやメモリースティックなどログに記録できない方法ではなく、許可された方法でファイル転送が行われるように徹底する方法を検討してください。

• 会社の事業活動上、データ保護/プライバシー保護の規制へのコンプライアンスは必要ですか？

標準的なファイル転送タスクでは、監査証跡が残せない、データ侵害が発生した場合にコンプライアンスを証明できない、送信中のデータを暗号化しない、などといった問題がある場合があります。

ファイル転送のためにマネージド・ファイル・トランスファー・ソリューションを導入すると、データセキュリティを強化でき、スタッフがより重要なタスクに集中できる時間的余裕が生まれます。データセキュリティが、サイバーセキュリティ・プランにしっかり組み込まれていれば、機密データが適正に処理され、データ損失のリスクが軽減されます。

アクセス許可管理、データ暗号化、ワークフローの最適化、監査証跡などのメリットが利用できるマネージド・ファイル・トランスファーは、組織のセキュリティ体制を全体的に堅固なものにします。ネットワーク侵害が発生したとしても、IT部門が侵入者と対決している間にも、機密データの安全は守られます。