 |
 |
記事検索 |
イベントレポート |
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
IBM大木理事、個人情報漏えい対策について講演 |
||||||||||
|
||||||||||
|
～Yahoo! BBの顧客情報流出にも言及
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
IBMでは、オンデマンドビジネスに不可欠の要素として、「即応性（Responsive）」「柔軟性（Variable）」「集中化（Focused）」「回復力（Resilient）」の4つを列挙している。大木氏は、その中でも障害などからの「回復力が重要」とセキュリティに対するあり方を示唆。情報漏えいや脆弱性による障害などの事故そのものより、それらを防ぐプロセスが重要だという。例えば、個人情報のアクセス権などを的確に定めることで、「不幸にして起きてしまった事故を局所にとどめ、全体の安全を守ることができる」と指摘した。 ● 今後は“事故前提型社会” 大木氏によれば、セキュリティに対する取り組みは大きな転換期だという。従来は、結果として事故が起きないようにするための取り組みだったが、「今後は“事故前提型社会”という意識を持つ必要がある」。「国民的な議論を呼んだ住民基本台帳ネットワークでは、当時の大臣が『100パーセント安全だ』という一方で長野県が侵入実験をした。しかし、こうした議論は本質をはずれた議論だ」と断定。また、「国内企業の取締役には『うちの会社は性善説でやっている』と仰る方が多いが、セキュリティに限れば、痛いしっぺ返しを負いかねない」「IT部門のスタッフは忠誠心が高いと思いこむのも危険だ」とコメント。外部の危険には高い意識を示しながらも、社内など内側の意識は「緊迫感を保てない状況」という。こうした状況が「続発する個人情報漏えいの温床ではないか」と分析した。 「いくら対策をしても、事故は起きる。そのリスクに対応することが、事故前提型社会ということ。悪い結果にばかり目を奪われ、プロセスは軽視する従来の考え方は変えなければならい」と述べた。 ● セキュリティ対策は、「OECDセキュリティガイドライン」を原則に 続いて、リスクマネジメントとセキュリティマネジメントの違いについて説明。「リスクの本質は、自分ではコントロールできない外部の変化。リスクマネジメントは、それに備えるもの。だから、リスクマネジメントは間口が非常に広くなる」。一方、セキュリティマネジメントは、「自分たちでできる具体的な対策の有効性を検証すること」だと解説。言い換えれば、「脅威に利用されかねない脆弱性に対する対策をしっかりやることがセキュリティマネジメント」だとして、「システムだけでなく人間も脆弱性となりうる」と注意を促した。IT部門が実施すべきセキュリティ対策は、「OECD Guidelines for the Security of Information Systems（OECDセキュリティガイドライン）」を原則にすることを推奨。OECDセキュリティガイドラインは1992年に経済協力開発機構により制定されたが、2002年に最新版に改定されており、「リスク評価の原則」「セキュリティデザインと実装の原則」「セキュリティマネジメントの原則」など9つの原則が明記されている。大木氏は、このガイドラインの延長線上に「ISMS適合性評価制度」や「情報セキュリティ監査基準」があるとし、「OECDセキュリティガイドラインは原理原則だが、これに立ち返ることが大事。きっちり押さえて欲しい」と訴えた。 具体的な取り組みとしては、個人情報の扱いを例示してアクセス権の設定方針を解説した。これまで多くの企業で採用されていたアクセス権の設定方法は、「組織の階層」をそのままアクセス権に当てはめたもの。部長は部門全体の、社長は会社全体の情報へアクセスできる方針だ。大木氏はこの方針を「“Need to Know”の原則」に基づいていないと否定。「1つの会社でも、ある会社とA部門は競争し、B部門は提携している状況は起こりうる。そうした状況では階層によるアクセス制御は機能しない」という。「サービスを提供するために個人情報へアクセスする場合は、パートだろうと正社員だろうと関係ない。むしろ、部長や社長はアクセスする必要がないはずだ」として、必要に応じてアクセス権限を設定する方針を提示した。 その後、アクセス権限の申請手順などにも言及。「権限のある人が正式にアクセス権を付与しているのか。付与されたアクセス権限は本当に正しいのか」と疑問を呈示。「生産性を上げるために、『そんな悪い人はいないから、硬いことをいわずに』と“性善説”に基づいて、本来権限のない者がアクセス権を付与していた例も多い」という。「警察などから“アクセスログを開示せよ”と命令を受けた時、運用によっては提出したアクセスログが、アクセスの実態を本当に反映しているか、大いに疑問だ」という。「そういったログで犯人を特定できるのか。原因が判明しないとユーザーの信頼を失いかねない」と強く警告した。 ● Yahoo! BBでは「適切にアーキテクチャが構築されていたのか？」 なお、大木氏は「昨晩から今朝にかけて460万人の顧客情報が漏えいしたと報道された企業もある」とYahoo! BBの顧客情報流出にも触れた。記者の「2,000台から顧客情報にアクセスできたことにどう思うか」という質問に対し、「あまりに多くの端末から見えてしまうのは問題だが」と前置きした上で、「問題の本質は台数ではない。2,000台からアクセスしても情報漏えいが起きないようにするセキュリティアーキテクチャが構築されていたのかどうかが問題だ」と述べた。関連情報 ■URL IBM FORUM 2004 http://www-6.ibm.com/jp/event/forum2004/ ■関連記事 ・ ソフトバンクBB、数百万件の個人情報データを25日より照合（2004/02/25）
（ 鷹木 創 ）
- ページの先頭へ-
|
