テレワークが始まり、働き方やビジネス プロセスが変更となった場合に行う 4つの確認事項

情報セキュリティは、すべてが計画どおりに進んでいる場合でも軽視できません。「普段のビジネス」でも、外部からの絶え間ないマルウェアとフィッシングの試み、継続的なネットワーク攻撃、そして不注意な、知識不足の、または悪意のある従業員による日々のポリシー違反は想定されています。しかし、事態が不意に変更される場合、機密データの保護はさらに困難かつ重要になります。

非常事態による組織の日常業務の変化は、新しいセキュリティホールをもたらし、機密情報が失われたり、盗まれたり、許可されていない人に公開される恐れがあります。企業がキャッシュフローやビジネス継続性の予期しない変更にすでに対処している場合、データ漏洩の影響は特に深刻になる可能性があります。

では、何をすべきでしょうか？企業の最も脆弱なポイントを見極めて、そのポイントを強化するデータセキュリティ戦略を設計します。4 つの質問を行う (そして答える) ことから始めましょう:

#1 漏洩した場合に最も損害を与えるデータは何か？

優先順位を付けることがデータセキュリティの秘訣です。

すべての組織がデータの完全なリストと各データタイプを管理および保護する方法を定義するポリシーをメンテナンスすることが理想的ですが、現実は異なります。事態が落ち着いている場合でも、セキュリティチームがプロジェクトリストのすべての項目に取り組むための時間とリソースは不足しがちです。変化、成長、または危機の際には、セキュリティの取り組みを最も重要な情報に集中する必要があります。

組織が生き残るために保護する必要があるデータは何でしょうか？メーカーやテクノロジー企業の場合は製品設計かもしれません。医療機関の場合は患者の記録かもしれません。小売業者の場合は取引情報とクレジットカードのデータかもしれません。業務の他の部分が変わったとしても、自社のビジネスにとって不可欠なデータが最初に保護する必要があるデータです。

業務の他の部分が変わったとしても、自社のビジネスにとって不可欠なデータが最初に保護する必要があるデータです。

#2 機密データはどこにあるか？

保護する必要があるデータが分かったら、そのデータを保存している、またはそのデータにアクセスできるすべてのシステムを特定します。組織が新しいテクノロジーを採用したり、IT インフラストラクチャを変更している場合、この作業は楽になります。

データベース環境では、機密データの特定はかなり簡単です。探しているデータが分かっていれば、データベース管理ツールで、各データタイプの量と、データを格納しているテーブル、サーバー、およびデータセンターを調べることができます。

体系化されていないデータ (データベースではなくファイルのデータ) を使用している場合、作業は難しくなります。従業員が機密データをファイルに保存している場合、次に何が起こるか正しく理解している企業はそれほど多くありません。セキュリティ管理者の知識がなくても、この機密データを含むファイルを、クラウドや USB ドライブにコピーして保存したり、メールで送信したり、他の方法で共有することができます。

データ検出ツールはこの状況を一変させます。検出テクノロジーは、ファイルのコンテンツとメタデータをスキャンして、機密データの定義を満たすファイルを自動的に識別します。この定義は、データパターン (クレジットカード番号など)、特定の単語、ファイル形式、その他の基準に基づくもので、各組織で決定します。

#3 機密データにアクセスできるのは誰か？

本来アクセスする必要がない (またはアクセスすべきでない) 人が非常に重要なデータにアクセスできる状態になっていることがよくあります。ここでも、体系化されていないデータを使用している場合、対処は難しくなります。企業秘密、顧客データ、その他の機密情報を含むファイルは、多くの場合、すべての部門または組織全体がアクセスできるサーバー上に格納されています。

機密データの範囲と場所が特定できれば、データへのアクセスを効果的に制限できます。アクセスが必要な人のみにリストを制限し、アクセスしている人ごとにアクティビティを監視して、異常なパターンを見つけられるようにします。

#4 機密データをどのように保護しているか？

多くの組織は、複数の層の情報セキュリティを備えています。ネットワークセキュリティシステムは外部からの攻撃を防御し、アクセス制御はデバイスやシステムの不正使用を防止し、ウイルス対策システムは悪意のあるプログラムから保護します。これらに加えて、組織には機密データそのものを保護するソリューションが必要です。

価値の高いデータの場合、最適な保護は永続的な暗号化です。暗号化を行うと、正しい復号キーがないとファイルを読み取ることができなくなります。適切に実装されていれば解読されることはありません。永続的な暗号化は、転送中または単一のデバイス上でのみデータを保護する他の暗号化方式とは対照的に、コピーまたは共有されたすべての場所でファイルを保護します。

暗号化は、組織が変化している場合のフェイルセーフとして特に価値があります。新しいシステム、ネットワーク、およびビジネスプロセスへ移行すると、かなりの期間が経過するまで判明しないセキュリティの欠陥が生じることがあります。しかし、重要なデータが作成時に暗号化され、そのライフサイクルを通して暗号化されたままであれば、紛失したり、盗難されたり、または許可されていないユーザーと共有された場合でもデータの安全性は保たれます。

永続的な暗号化は、コピーまたは共有されたすべての場所でファイルを保護します。

戦略の更新を続ける

事実を受け入れたくないかもしれませんが、非常事態の間も普段のビジネスに戻ったときも、すべての漏洩を防げるとは限りません。また、データのすべてのバイトを保護することもできません。良い知らせは、ツールを利用できることです。組織の優先順位が最も高いデータを特定し、作成の瞬間からその後のすべてのステップで、あらゆるレベルでデータを保護します。

最も重要なことは、組織の進化と起きている変化に応じて、戦略の更新を続けることです。戦略の更新を続けても、外部のハッカーや悪意のある内部関係者からの攻撃を防ぐことはできません。ただし、企業や顧客にとって本当に重要な情報に対するリスクを最小限に抑えることはできます。脅威に満ちた確信のない世界では、できることを行うしかないのです。

データセキュリティ対策

PKWARE 社は、多くのコンプライアンスの要件にも対応する ZIP ベースの強固なデータセキュリティソフトである SecureZIP を提供し、社内と社外にかかわらず拡大するエンタープライズ間のデータを移動と保存の両局面でデータ自身を保護し機密データを保護します。

SecureZIP は、デジタル署名やファイルの暗号化を行い、知的財産、顧客データ、金融情報およびその他の重要な情報の盗難、改ざんまたは不正アクセスを防ぎます。また、SecureZIP は、メインフレームからサーバー、デスクトップまですべての主要なプラットフォームに対応し、クロスプラットフォームでのデータの互換性とデータ保護を提供します。

SecureZIP は、無償評価版を提供しております。こちらよりぜひお試しください。

SecureZIP 製品の詳細は、こちらのページからご覧ください。

記事参照：
© 2020 PKWARE

「First Principles of Data Security: The 4 Key Questions You Need to Be Asking」