セミナー報告

2011年8月25日（木）、26日（金）の両日、中国国内（蘇州・上海）において、『中国の現状を踏まえた情報漏えいリスクと経営に与える影響』をテーマとした特別セミナーを開催しました。
日本国内だけでなく中国ビジネス展開においても大きなリスクとなっている情報漏えい問題について、事例や政府の動向を含む最新情報、経営視点から見た情報漏えい対策のポイントと具体的対策を2部構成で紹介、両日合わせて150人近いお客さまが熱心に講演に耳を傾けており、今回のテーマに対する興味の高さをうかがうことができました。

セッション１　『企業をとりまく情報漏えいの現状と経営に与える影響』

PwC Japanのあらた監査法人でプロセス・情報・システムに関するリスクのコントロールを専門にコンサルティング活動に従事している宮村氏は、社会的な問題にもなっている昨今の情報漏えいの事件・事故に関して、実際に発生してからはじめて、想像以上に経営に与えるインパクトの大きさに気がつく企業が多いことを冒頭に指摘、同時にそのインパクトには発生直後の対応に伴う直接的インパクトとボディブローのように長期間に渡るインパクトがあるという見解を示しました。

前者は、金銭的負担や対応に要する人件費、風評による業績悪化など、インパクトは大きくとも一時的な影響となるものが多いとし、後者の長期的な影響も見逃すことが出来ない負担となることを説明しました。

長期的な影響としては、毀損された企業ブランドの回復が容易ではないだけではなく、再発防止策として事故発生直後に導入した言わば非常時対応の過剰なリスク対応策を、平時になっても続けざるを得なくなることで、長期に渡り業務効率に悪影響を与えることを挙げました。

次に、日本における情報漏洩事件・事故の被害者数の経年変化から、被害者数は1千万人程度で変わっておらず、原因としては不正アクセスが最大だが、内部者による不正が１～３割と多くの割合を占めていることも着目すべきと指摘しました。
その理由として、重要情報にアクセスする権限を持っている内部者による不正は、漏洩する情報の質と量を考えた際に大きな被害に繋がる可能性が高いことをあげ、実際の事例をもとに対策、事件による影響と損失額などを具体的に紹介しました。

聴講者の皆様の一番の関心事項であると思われる中国の状況については、法制度の現状を解説し、続けて『中国商業秘密保護ネットワーク』の分析結果から中国における情報管理の実態として、『内部人員による個人使用目的の商業機密不正取得が多い』、『対象となる情報は技術情報が多いが、昨今では営業情報も対象とする事件も増加傾向にある』、『手段としては外部からのネットワーク侵入は少ない』などの特徴を、データの読み方を交えて説明しました。

最後に現状の課題として、状況に応じた対策、対策の継続性、管理レベルの統一を挙げ、それを踏まえていま求められている対応策を『ビジネス環境変化への対応』、『企業の管理レベル（成熟度）に応じた対応』という2つの対応方針に整理して講演を終えました。

セッション２　『情報漏えいリスク対策の考え方と効果的アプローチ』

あらた監査法人・宮村様による情報漏洩の現状と経営に与えるインパクトについての講演に続いて、当社でセキュリティ関連事業担当部門責任者の上田より、情報漏洩リスク対策の考え方と具体的な解決策の一例としてのソリューション紹介を行いました。

まず最初に情報漏洩を引き起こす脅威には、外部からの攻撃（外部脅威）と、内部からの犯行・過失（内部脅威）の2種類が存在し、それらは全く違う種類のリスクであり、自ずと講じるべき対策も大きく異なることを理解する必要があるという前提を示し、それぞれについての対策のポイントを説明しました。


外部脅威に関しては、その被害の多くが公知の脆弱性を突いた攻撃が原因であることを挙げ、診断サービスや外部攻撃対策を紹介しつつも、それらを継続的に全システムに徹底する難しさから、アクセスログなどによる定期的なモニタリングが欠かせないと指摘しました。
内部脅威については、『情報の重要性の認識欠如・統制不備』、『ヒューマンエラー』、『故意の漏洩（内部犯行）』にケースを大別し、ITを活用した対策だけではなくマネジメント（人的）対策の必要性にも触れ、それぞれについての対応策を解説しました。

情報漏洩を考える上でのポイントとして、情報は常に持ち出される危険にさらされており、完璧な対策など存在しないという前提に立つこと、ツール（IT）を導入するだけでは対策にならないこと、実現性と有効性のバランスが肝要であること、さらには、情報の価値を最も理解しているマネジメント層が高い意識を持たなければ、情報漏洩対策は機能しないという持論を披瀝しました。




またセッションの最後には、外部脅威／内部脅威のどちらにも、『今、何が発生しているのか』、『過去に何が起こったか』を把握することが今後の対策検討にも繋がるため、各種のログ取得とモニタリングが情報漏洩対策の第一歩に適していることを説明し、企業ごとの状況に応じた適切な対策を始めることができるクラウド型のログ管理サービス”Log Shelter”を活用した情報漏洩対策ソリューションを紹介しました。

セミナー全体を通して

生憎の悪天候にもかかわらず、蘇州・上海ともに会場はほぼ満席となる盛況のもと、セミナーを開催することが出来ました。
セッション中は講演者の説明に合わせて、手元の資料を繰りながら熱心にメモを取るお客様の姿も多く、またセミナー終了後の質疑応答では、『中国でも一般化してきている個人所有のスマートフォンからの情報漏洩対策は？』と言う、非常に具体的な質問がでるなど、今回のテーマに対する参加者の皆様の関心の高さがうかがえるセミナーとなりました。