社員自身が社外に情報を持ち出して流出させてしまうケースも少なくありません。情報の重要性を正しく認識せずに、「たいしたことではない」と自己判断してしまっている場合もあるでしょう。

ノートパソコンやタブレットなどのデバイスはもちろん、USBや書類の持ち出しに関しても気を付けておく必要があります。どうしても持ち出さなくてはならない場合は、マニュアルに沿った行動のみ許可するなど、制限を設けて社員に徹底させましょう。

情報の破棄方法を定める

社員の情報セキュリティに関する知識が浅いと、データの破棄方法にまで頭が回らない可能性があります。実際に、情報が残されたまま捨てられたデータから、情報漏えいをしてしまうこともあります。

情報機器や書類の破棄方法を社内でルール化し、全ての社員が認識している状態が理想です。社員数が多く情報の取り扱いに心配がある場合は、専門業者を利用するのも情報漏えいを防ぐためには効果的です。

私物デバイスの使用を禁止する

社内で私物のスマホやノートパソコンの使用を禁止することも、情報漏えい対策につながります。

例えば、手軽に使えるからといって、特に危機感を持たずに自分のUSBを接続してしまうケースもあるでしょう。もし、そのデバイスがすでにウイルスに感染していた場合、被害が社内ネットワーク全体に広がってしまう恐れがあります。

機器の持ち込み自体を禁止していれば、私物デバイス経由の情報漏えいを防ぐことが可能です。

メールの取り扱いルールを決める

個人でもメールアドレスを所有している割合が高くなっている現代では、メールの取り扱いについて社員に詳しい教育をしていない企業もあるかもしれません。

しかし、実際には不審なメールを開いてしまったり、誤ったファイルを添付してしまったりとメールによる情報漏えいも発生しています。

個人情報など重要な情報を含んだメールを送信する際には、複数人で宛先や添付ファイルのチェックをするなど、確認体制を整える必要があります。

また、心当たりのないメールは開かないようにするなど、被害事例を紹介しながらメールの取り扱いルールの教育をするのも有効です。

社員教育を強化する

人為的なミスで発生してしまう情報漏えいも多いことから、社員一人一人が情報の取り扱いに関して高い意識を持つことが重要であると言えます。

情報セキュリティ教育を実施するためには、まず企業の情報セキュリティポリシーを定める必要があるでしょう。セキュリティポリシーは、基本方針と対策基準、実施手順で構成されます。

セキュリティポリシーが完成したら、情報セキュリティ教育を通して周知徹底を進めましょう。情報セキュリティを守ることの重要性を認識させることで、社員は当事者意識をもって日々の業務に取りかかれるはずです。

情報漏えい対策に欠かせないシステム整備

外部からのサイバー攻撃などは、いくら社員の情報セキュリティ意識を高めても防ぎ切れないのが現状です。悪質なウイルスや不正アクセスから情報を守るためには、企業のシステム整備も欠かせない対策です。

ここでは、次の4つの具体的なシステム整備対策をご紹介します。

システムの安全性を確認する
定期的にOSのアップデートをする
データにアクセス制限を設ける
セキュリティソフトを導入する

システムの安全性を確認する

企業で利用しているシステムやアプリケーションに脆弱性がある場合は、そこを狙って外部から攻撃をされてしまう可能性があります。

セキュリティが緩い場所を見つけて不正アクセスを試みるケースが多いため、システムの安全性を確保・維持しておくことが重要です。

脆弱性を完全になくすことは難しいかもしれませんが、システムのどの部分に対策が必要かを知っておくだけでも、情報漏えいの防止に役立つでしょう。

定期的にOSのアップデートをする

OSのアップデートを適宜おこない、セキュリティ強化をすることが大切です。アップデートを怠り古いバージョンのまま利用を続けていると、セキュリティレベルが下がり外部からの攻撃を受けやすくなってしまうでしょう。

サイバー攻撃は日々多様化し、進化を続けています。効果的なセキュリティ対策で情報漏えいを防ぐためには、OSを更新して最新のセキュリティプログラムを導入しておく必要があります。

データにアクセス制限を設ける

データの閲覧にパスワードを設けるなど、アクセス制限をするのも情報漏えい対策として有効です。個人情報などの機密情報が入ったファイルは、社員全員がアクセスできる状態にしておくのは適切ではありません。

重要度の高いファイルは、限られた社員だけにアクセス権を付与する形を取るのが安心です。ファイルのリンクを誤送信してしまった場合にも、ファイルの閲覧に制限がかかっていれば、最悪の事態は避けられるでしょう。

セキュリティソフトを導入する

OS自体に基本的なセキュリティ機能は備わっていますが、それだけでは全てのサイバー攻撃を防ぎきれないのが事実です。

特に個人情報などの重要な情報を取り扱う企業の場合は、専用のセキュリティソフトで対策を取っておくのがよいでしょう。

セキュリティソフトの導入にはコストがかかります。しかし、情報漏えいによって起きる被害やウイルス感染のリスクを考えれば、導入を検討する価値があるはずです。

＼個人情報管理ツールをお探の方はお気軽にご相談ください／

情報漏えいが起こってしまった場合の対処手順

実際に情報漏えいが起きてしまったら、落ち着いて次の3つの手順で対処するようにしましょう。

被害拡大の阻止
状況把握と原因究明
情報共有

どれだけ防止策を取っていても、思わぬ所から情報漏えいが起きてしまう場合もあります。万が一のために、知っておきたい情報漏えいの対処手順をご紹介します。

1.被害拡大の阻止

情報が流出してしまったら、情報漏えいをする前の状態に戻すことは不可能です。そこで、落ち着いて対処し、これ以上の被害拡大を阻止する必要があります。

ケース別の被害拡大阻止対策を以下にまとめています。

流出した情報が公開されている：【対策】外部からの閲覧を規制する
業務用デバイスの紛失：【対策】ID、パスワードの変更をする
個人情報の流出：【対策】事実の公表と謝罪、対応窓口を設置する
メールの誤送信：【対策】受取人に事情を話して情報の削除依頼をする
ウイルス感染：【対策】該当デバイスをネットワークから隔離する

被害を最小限に抑えるためには、どれだけ対応できるかが肝になります。

2.状況把握と原因究明

被害の拡大を抑えることができたら、次は状況の確認と原因究明にかかりましょう。状況把握としては、被害の範囲や流出してしまった情報の内容などの調査をおこないます。

この段階で正確に状況を把握することができれば、取るべき対応や解決策を見つけやすくなるからです。今後の被害を防止するためには、原因究明が必要です。

サイバー攻撃を受けた場合は、どんなルートで侵入されたのか、何が原因となって情報流出につながってしまったのかを特定します。現在の問題解決と今後の情報漏えい対策に欠かせないプロセスだと言えるでしょう。

3.情報共有

情報漏えいの原因と被害状況が正しく理解できたら、関係部門に情報を共有します。
外部攻撃によりシステムの復旧に時間がかかる場合は、それまでの対応策や復旧の目安も知らせておく必要があるからです。

個人情報が流出してしまった際には、関係者に詳しい状況を説明しなければなりません。被害状況や対策を伝え、サイバー攻撃など犯罪が絡んでいる場合は警察とも連携しておきましょう。

また必要であれば、今後のためにマニュアルの見直しや社員教育の強化もおこないましょう。

実際に起きた情報漏えい事例

最後に、実際に起きた情報漏えいの事例を紹介します。

【事例1：悪意のないミスが情報漏えいにつながった事例】

自社サービス利用者の氏名やメールアドレス、郵便番号、電話番号、暗号化されたクレジットカードなどの個人情報が公開されてしまった
原因はサービス担当者の操作ミス

【事例2：システム障害が原因となった事例】

会員のメールアドレスが宛先に露出している状態で、メールマガジンが繰り返し大量配信されてしまった
原因はチェック体制の不備、メール配信システムの不具合

ご紹介した事例のとおり、情報漏えいは思わぬところから発生してしまうものです。普段から情報漏えい対策を立て、情報の取り扱いに気を付ける必要があります。

まとめ

情報漏えいの原因は、主に内部社員の人為的なミスと外部からの攻撃に分けられます。情報漏えいを防ぐためには、情報セキュリティポリシーを定め、会社一丸となって取り組むことが必要です。

個々人の情報の取り扱いに関する意識を常日頃から高めることも、情報漏えい対策として有効です。従業員自身に「自分が利用するPCのデスクトップに個人情報を含むファイルが置かれていないか」、「会社の指定するファイルサーバに保管できているか」等を定期的にチェックしてもらうことで、セキュリティに対する意識も変化します。

このような定期チェックのツールとして、多くの企業に利用されているP-Pointerは、社内のパソコンやファイルサーバの中から、ファイルの内容や属性情報をもとに保管ルールに違反している個人情報ファイルを検出する「個人情報ファイル検出・管理ソリューション」です。

ファイルの所在をチェックし、自動で移動や削除が可能なため、個人情報ファイルの把握と安全管理に課題をお持ちの企業様に最適なツールです。

定期的にP-Pointerを用いて、個人情報の取り扱いチェックのサイクルを回すことで、従業員のセキュリティ意識を高めることもできます。

実際にどう活用しているか、導入企業さまでの事例インタビューは、こちらでご紹介しています。ぜひご覧ください。

＼他社の事例集を見てみる／

＼自身のPCの個人情報を「無料体験版」でチェック／

アララ株式会社 P-Pointerチーム

個人情報検出・管理の領域において、P-Pointerシリーズを15年以上販売してきたアララのP-Pointerチームがその知見を活かし、セキュリティに関する情報をお届けするブログです。個人情報や企業の機密情報を様々な脅威から守るため、企業のセキュリティ担当者が押さえておくべきセキュリティの基本から、実際に取り組むべき具体的な施策まで、セキュリティ分野のお役立ち情報を発信します。セキュリティ分野のブログを25本以上ご用意しておりますので、ぜひ貴社のセキュリティ対策にお役立てください。

情報漏えい対策の重要性とポイントを解説！有事に備えた事前準備が必須