対策を事例で判断する

内部不正は、正規の権限を持つ利用者が情報を不適切に扱う場合も対象になります。そのため、認証だけでなく、業務に必要な範囲へ権限を絞ることや、操作記録を残して確認できるようにすることが重要です。

異動や退職の際には、不要になった権限を速やかに見直します。権限付与・利用・見直しを一連の管理として考えると事例を整理しやすくなります。

内部不正対策では権限管理と操作記録を組み合わせる。

サーバ室や重要な書類の保管場所では、ネットワーク上の対策だけでは守れません。入退室管理、施錠、監視、持出し管理などの物理的対策を使います。

誰がいつ入室したかを記録し、必要な人だけが入れるようにすると、事故の予防と発生後の確認の両方に役立ちます。情報を守る対象には端末や記録媒体などの物理物も含まれると考えます。

重要設備には入退室や持出しを管理する物理的対策を行う。

情報セキュリティ教育では、ルールや脅威、適切な行動を利用者へ理解してもらいます。一方、訓練では、標的型メールを模した状況などを使い、実際の行動や連絡手順を確認します。

知識を伝えるだけでは、緊急時に適切に行動できるとは限りません。教育で理解を促し、訓練で行動と手順を確かめるという役割の違いを押さえます。

教育は理解、訓練は実際の行動や手順の確認に重点を置く。

事例問題では、利用者が規程を知っていたかだけでなく、実際にどのような行動を取ったかを確認します。不審なメールを開かない、認証情報を他人と共有しない、離席時に端末を保護するといった行動が事故の可能性を下げます。

事故を見つけたときは、独断で隠したり処理したりせず、定められた連絡先へ報告します。予防の行動と発見後の報告を分けて考えると判断しやすくなります。

利用者には予防行動と発見後の適切な報告の両方が求められる。