なぜ組織はデータを安全に保てないのか?情報漏洩を招く8つの原因

データ量は瞬く間に増大し続けており、それに伴い偶発的な情報漏洩のリスクも高まっています。規模の大小にかかわらず、組織は大量の機密情報を保有しています。組織のセキュリティが侵害されたというニュースを耳にする機会も少なくありません。なぜこのようなことが起こるのでしょうか?さらに深刻なのは、一部の組織が私たち個人の情報まで保有しており、その杜撰なデータ管理が将来、私たち自身に被害をもたらしかねないという点です。

組織が優先的に取り組むべき重大なセキュリティ上の欠陥を浮き彫りにする事例は数多くあります。最新の技術、インフラ、人材を十分に備えていながら、いくつかの重要な面で後れを取っているのが現状です。さらに、大きなセキュリティ事故が発生した後も、自組織を脆弱にした要因を率直に開示することなく、隠蔽に走るケースが目立ちます。こうした状況は多くの分野の専門家の注目を集めており、原因は一つではなく複数存在すると指摘されています。それらの要因とはどのようなものなのでしょうか?本記事を最後まで読み、疑問を解消してください。

1. 開発者研修の不足

組織では日々新しいアプリケーションが開発されています。ゼロから構築されるものもあれば、既存のコードを改変して作られるものもあります。開発数が増えるほど管理は難しくなり、最良のセキュリティプラクティスを実装することも困難になります。その結果、開発されるすべてのアプリケーションが攻撃に対して脆弱になってしまいます。この問題を緩和するには、組織全体が協力して開発者への研修を実施し、脅威を効率的に排除できる体制を築く必要があります。

2. 実績のある手法への過度な依存

忙しい日常の中で、私たちは新しいことに挑戦することから遠ざかりがちです。リスクを恐れて従来のやり方に固執し、責任を問われないよう、既存のアプリケーションやソフトウェアを使い続けることで業務の停滞を避けようとします。しかし、これらのアプリケーションに全面的に依存することはできません。いずれアップグレードが必要になる時期が必ず訪れます。ならば、長期的な安全性を確保するための対策に今すぐ着手すべきです。自社独自の技術を開発するか、古い手法やソフトウェアを使い続けてリスクを抱えるか、どちらかを選ぶしかないのです。

3. 衝突回避への傾倒

特定の脅威が発見されると、チームは修正作業にかなりの時間を割く必要があります。つまり、脅威を無視して作業を進めるか、チームを分割して修正に当たらせるかのどちらかを選ぶことになります。いずれの場合も業務に支障が出ます。これがチームと経営層との間の対立の火種になりかねません。それを避けるため、チームは納期内に製品を納品するだけで、残りの問題を保守部門に押し付けてしまうのです。この問題を真に克服したいのであれば、経験豊富なプロフェッショナルで構成される専門のセキュリティ部門を設置し、セキュリティ対応を担わせることが不可欠です。

4. 自社データが脅威にさらされていることを否定する

多くの組織は「自社には他者にとって価値のあるデータはない」と考えています。しかし、そこに大きな落とし穴があります。現在のハッカーはデータの種類など気にかけておらず、あらゆるデータが盗難のリスクにさらされています。彼らはむしろデータを人質のように保持し、そこから利益を得ることに興味があるのです。「自分たちの情報には価値がない」と思わず、適切な保護策を講じることが重要です。

5. 重要サーバーのみを防御する

IT担当者はしばしば、すべてのシステムが相互に接続されており、ネットワーク全体が管理者の管理下にあるという事実を見落とします。管理者権限への侵入経路を見つけた者は、ネットワーク内のあらゆるデータにアクセスし、悪用できてしまうのです。また、コスト削減のためにセキュリティテストや情報セキュリティ予算などの対策を軽視する組織も少なくありません。何もしないよりはましですが、それだけでは決して十分ではありません。将来的な被害を防ぐには、重要サーバーだけでなく、すべてのノードを保護対象に含めるべきです。

6. パスワード管理の甘さ

IT企業では、システムを守るために極めて単純なパスワードを使用することが珍しくありません。会社名やユーザー名に数字や特殊文字を組み合わせただけで、データが安全だと期待しているのです。これは非常に危険な発想です。多くの場合、セキュリティ侵害の犯人は組織の内部にいる人物であり、あなたについて相当な情報を持っています。攻撃を完全に防ぐことは難しいとしても、少なくともハッカーの仕事を困難にすることはできます。パスワードは慎重に設計しましょう。

7. 綿密な計画なしに在宅勤務を許可する

在宅勤務制度は従業員と雇用主の双方にとってメリットがありますが、適切な準備なしに導入すると、組織最大の悪夢が現実になりかねません。従業員は情報共有のためにさまざまなネットワークに接続しますが、その通信が暗号化されていない場合、ハッカーに「どうぞデータをお持ちください」と言っているようなものです。在宅勤務そのものに反対するわけではありませんが、十分な準備を整えた後にのみ許可すべきです。

8. 一律のセキュリティ対策を全システムに適用する

ネットワーク内のすべてのシステムが同一でしょうか?答えはノーです。したがって、単一のセキュリティ対策で十分だと考えるのは危険な思い込みです。データ漏洩を本気で防ぎたいのであれば、システムの特性に応じた専用のデータセキュリティポリシーを作成・実装することが第一歩となります。

以上が、組織を格好の標的にしてしまう数多くの要因の一部です。皆様のご意見があれば、ぜひコメント欄でお聞かせください。