退職者のデータ持ち出しを未然に防ぐには？現場で活きる内部脅威検知サービス（IRI）の仕組み
テレワークの定着やクラウドサービスの普及など、働き方の多様化が進む一方で、企業が守るべき情報資産と外部ネットワークとの境界線は曖昧になっています。こうした環境変化により、企業の情報漏洩リスクはますます高まっています。
とりわけ、組織の内部から発生する情報漏洩は、深刻な被害につながる恐れがあります。昨今は巧妙化するサイバー攻撃といった「外部脅威」に注目が集まりがちですが、実際には退職を控えた従業員による意図的なデータの持ち出しなど、「内部脅威」の形も多様化しています。表面化しにくい潜在的なリスクも多く、多くの現場担当者が日々の対応に苦慮しているのが実情です。
このコラムでは、退職者によるデータ持ち出しの実態を紐解きながら、解決策として期待される内部脅威検知サービス（IRI）の仕組みや活用イメージ、導入のあり方について解説していきます。
目次[非表示]
信頼を前提としたシステムの限界と内部不正
企業が直面する情報漏洩リスクの中でも、退職者によるデータの持ち出しは、特に警戒すべき問題であると考えられます。
そもそも内部脅威は、大きく以下の3つのカテゴリーに分類されます。
- 悪意のある内部不正
- 過失やミスによる内部脅威
- 外部脅威により侵害された正規アカウント
このうち、退職予定者によるデータの持ち出しは、「競合他社への転職を有利に進めたい」という意図や「長年の待遇に対する不満」などを背景とした、悪意のある内部不正に該当するケースがあります。
内部脅威が外部脅威と同様に深刻な被害につながりやすい理由は、正規の従業員が組織から与えられた正規の権限を用いて行動している点にあります。従来のシステムでは「社内の人間は信頼する」という前提があるため、正規のアカウントを用いた操作は通常の業務として認識されやすく、不正な操作を見抜くことが難しい場合があります。だからこそ、日常の業務操作の中に紛れた「普段とは違うわずかな予兆」や「一線を越えた不審な操作」を検知できるかが、内部脅威対策の本質であるといえます。
膨大な日常業務に潜む「一線を越えたリスク」の検知
実際の企業現場では、膨大な数の正常な業務操作の中に、組織に大きな影響を与えかねない重大なリスク事象がごくわずかに紛れ込んでいます。
デジタルリスクマネジメントの専門企業であるエルテスが、年間数千億件に及ぶ膨大な記録データを分析した統計情報によれば、ルール違反や不正の予兆が認められる行動は日々一定数見られるものの、実際に経済的損失につながる重大なリスクはごく一部に限られています。しかし、こうした初期段階の予兆を放置し見逃してしまうことが、結果として企業を揺るがす一大事を招く可能性を秘めています。
この膨大な日常の中に潜む、一線を越えた一回を見逃さないことこそが、内部脅威対策の本質であると考えます。さらに、情報の持ち出し経路も多様化しており、社用の電子メールから外部への送信や外部記録媒体へのデータの書き込みにとどまりません。通常とは異なるファイルの印刷や、翻訳サイト、オンラインのデータ保管サービスへのアップロードなど、デジタルとアナログを問わずさまざまな経路が利用されています。
▶事例から学ぶ、転職者による情報持ち出しの特徴【無料】ダウンロード
なりすましによる巧妙な情報持ち出しの実例
ある企業では、競合他社への転職が決まっていた従業員が、業務で利用していた開発コードを持ち出すため、上長のアカウントを利用してシステムへアクセスした事例がありました。この従業員は、自身のアカウントで外部持ち出しの申請を行った直後、共用端末から上長のアカウントでその申請を承認し、機密ファイルをダウンロードして持ち出しました。
本件は上長のアカウントが利用されているため、システム上は正当な承認手続きとして処理される可能性があります。アクセス権限や認証情報だけでは、こうした不正操作を見分けることは困難です。
再発防止策として、アカウントの共有禁止に加え、ユーザーの「振る舞い」に着目した検知仕組みの構築が必要です。具体的には、申請から承認までの異常な短時間操作、普段と異なる端末・利用者・時間帯での承認など、一連の行動を相関分析して異常を検知する仕組みが求められます。
関連記事：振る舞い検知とは？退職者のデータ持ち出しを防ぐ仕組みと効果を解説
内部脅威検知サービス（IRI）による対策
前述したような正規の権限を用いた見えない内部不正や、ルールベースのセキュリティ機器ではすり抜けてしまう脅威を防ぐための具体的な解決策として、内部脅威検知サービスが挙げられます。
本サービスは、企業内に蓄積された膨大なログデータを活用し、従業員の行動やシステムの振る舞いを継続的に分析する技術と、専門アナリストの高度な知見を組み合わせたハイブリッドなマネージドサービスです。通常業務に紛れ込んだわずかな不審の兆候を客観的にスコアリングし、組織の重要資産を不正アクセスや情報漏洩から保護します。
主なアプローチは以下の3点です。
① 日常のログデータを横断的に収集・分析
第一段階として、従業員が日常業務で使用するパソコンの資産管理システムから得られる端末の操作記録をはじめ、各種クラウドサービスや勤怠管理システムなどのログデータを、中継サーバーやAPI連携を通じて一元的に収集します。
これらのデータを基に、1万パターン以上に及ぶ独自のリスクシナリオを用いた振る舞い検知と、AIによる機械学習を用いた異常検知を組み合わせたシステム分析を実施します。このシステムによる自動分析では、情報の出口となる行動に加えて、情報への接触や不正の動機となり得る行動を掛け合わせて評価することで、単一のログだけでは見過ごされがちな行動の断片を時系列で結びつけ、本当に危険な兆候を持つ人物を的確にあぶり出すことが可能となります。
② 専門アナリストによる文脈を踏まえた詳細な再分析
第二段階として、システムによって不審な兆候が検知された場合、機械的に不正と決めつけるのではなく、経験豊富な専門アナリストが事象の前後関係や過去の傾向を詳細に精査します。
AIによる自動検知だけでは、複雑な業務の文脈まで完璧に判断することは難しく、過剰な検知や誤検知によって現場の負担が増える可能性があります。そこで、専門アナリストがログの詳細な確認を行い、対象となる行動の背景や企業の実情に即した多角的な分析を加えることで、単なる業務上のイレギュラーと真の脅威とを精緻に見極めます。
この人間の目による再分析を経ることで、現場の担当者を疲弊させるアラート疲れを抑制し、本当に対処すべき危険な兆候にのみ集中できる環境を提供することが可能となります。
③ 迅速な初動対応を可能にする緊急通知と可視化
第三段階として、専門アナリストによって分析された結果は、直感的に操作できる専用のWebポータルに随時反映され、現場の担当者が状況を迅速に把握できる環境を整備します。Webポータルでは、各従業員のリスク評価や注意すべき行動の推移が一覧で確認できるだけでなく、組織全体におけるセキュリティポリシーの遵守状況といった全体傾向もひと目で把握できます。
さらに、経済的損失を与えうる早急な対応が必要な重大リスクが検知された場合には、企業の担当者宛てに緊急通知が行われます。担当者はWebポータルのメッセージ機能を通じて、検知された事象に関する追加の調査依頼や対応方法の相談を専門アナリストと直接行えるため、被害が拡大する前の迅速な初動対応につなげることができます。
内部脅威検知サービスの活用イメージ
ここでは、内部脅威検知サービスが情報漏洩などのリスクをどのように早期発見するのか、エルテスが10年以上の運用実績から培った具体的な活用イメージをご紹介します。より詳しい内容は、無料のお役立ち資料をご覧ください。
ケース① 退職・転職に伴う情報持ち出しリスク
退職や転職を控えた従業員が、普段とは異なるファイルへのアクセスや大量のデータ取得を行うなど、情報持ち出しにつながる可能性のある行動を検知したケースです。
複数の業務ログを組み合わせて分析することで、単一の操作だけでは判断が難しい不自然な行動の変化を捉え、専門アナリストによる確認を経て、本人への確認やアクセス権限の見直しなど、早期の対応につなげることができます。
ケース② クラウドストレージを介した情報流出リスク
従業員によるファイルの共有設定変更や社外からのアクセスなど、クラウドストレージを介した情報流出につながる可能性のある行動を検知したケースです。
通常とは異なる共有やアクセスの状況を業務ログから捉え、関連する行動を組み合わせて分析することで、不審な情報共有の兆候を早期に発見し、共有権限の見直しなどの対策につなげます。
ケース③ 外部委託者による情報持ち出しリスク
外部委託先の担当者が、業務上必要な範囲を超えて社内の情報へアクセスするなど、情報持ち出しにつながる可能性のある行動を検知したケースです。
ネットワークへの接続状況や端末操作、ファイルへのアクセスなど複数のログを組み合わせることで、通常の業務とは異なる行動を捉え、専門アナリストによる確認を通じて、企業側での状況確認や早期対応につなげます。
内部脅威検知サービスの導入効果
これまでに紹介したような内部不正やルール違反に備えるため、実際に「内部脅威検知サービス」を導入した企業の事例をご紹介します。ログ分析の負担軽減や内部脅威の可視化など、導入によって実現した変化をご覧ください。
導入事例① 三菱UFJ eスマート証券株式会社様
三菱UFJ eスマート証券株式会社様は、内部脅威検知サービスの導入以前から、内部不正や情報漏洩リスクのモニタリングを自社内で実施していました。一方で、日々蓄積される膨大なログの分析作業が、担当者にとって大きな負担となっていました。導入後は、ログの量に左右されず継続的にリスクを分析できる体制が整い、従来は月次で実施していたログ確認を日次で行えるようになりました。大量のログを手作業で確認する負担を抑えながら、社内の異常行動をより迅速に確認できる体制につながっています。
導入事例② CHCPグループ様
全国500以上の拠点、8,000名以上の従業員を擁する医療・ヘルスケア関連グループのCHCPグループ様は、患者の機微な個人情報を数多く取り扱うため、情報システム部門としては、外部からの攻撃だけでなく、内部脅威への対策も重要な課題として位置付けられていました。
全従業員のPC操作ログやアクセスログ、認証ログを収集するとデータ量は膨大になり、単にログを収集するだけでは不十分で、分析のノウハウや相関分析のルールを継続的にチューニングし続ける必要があります。こうした運用負荷に、自社のリソースだけで対応することが課題となっていました。
導入後は、従業員の行動を継続的に分析することで、自部門だけでは把握が難しかった内部脅威の可能性を具体的に確認できるようになりました。また、未認可のAIサービス利用、いわゆるシャドーITの実態把握にもつながるなど、内部脅威に限らない社内のリスクの可視化にも活用されています。
まとめ
テレワークの定着や各種クラウド環境の普及、さらには生成AIをはじめとする新たな業務支援ツールの利用など、働き方と技術が急速に多様化する現代において、情報がやり取りされる境界線はますます曖昧になっています。それに伴い、業務効率化を追求する過程で個人の役割が多岐にわたり、特定の従業員に権限が集中することで、属人化による内部不正や過失による情報漏洩のリスクも高まっています。また、外部からの攻撃者が内部の正規アカウントを乗っ取ることで、外部と内部の脅威が複雑に絡み合った予測困難な被害も懸念されています。
とはいえ、内部脅威検知サービスの目的は、従業員を厳しく監視して不正を暴くことではありません。多忙な業務環境や処遇への不満、あるいは単なる気の緩みから、誰もが不正の誘惑に陥る可能性を秘めています。重要なのは、一線を越えて取り返しのつかない事態になる前に、異常な行動の兆しをいち早く捉え、適切なコミュニケーションを通じて問題の発生を未然に防ぐことだといえるでしょう。
従業員を信頼し、自由で効率的な働き方を推奨するからこそ、異常な行動の兆候をシステムと専門家の目で早期に把握し、問題が大きくなる前に対応できる仕組みを構築することが重要です。それが、企業の大切な情報資産と従業員の双方を守る、新しい時代の情報管理につながります。
内部不正対策は、エルテスへ
