仕事をする場所が社外へ広がり、クラウドや生成AIへ情報を渡す機会も増えました。便利になった分、誰が、どの端末から、何へアクセスしたかが見えにくくなっています。
情報漏えいは、社員一人の注意だけでは防げません。権限、端末、共有方法、外部サービスを仕組みとして見直します。
テレワークの増加と情報漏洩のトラブル事例
テレワークでは自宅やカフェ、公共スペースなどで業務を行うため、文書や電子端末を社外に持ち出すことや、社外からオフィスの共有フォルダにアクセスすることが増えてきます。
働く場所が社外へ広がると、端末、通信、のぞき見、持ち出しなど、社内とは違う確認項目が加わります。
・社外秘の文書や電子端末を電車やカフェなどに置き忘れるまたは紛失する
・パソコンの画面が第三者に見られ、画面の情報が流出する
・パソコンのOSやアプリのアップデートができておらずサイバー攻撃を受ける
・公共スペースのフリーWi-Fiに接続し情報が流出する
・業務に関係のないサイト閲覧によってウイルスに感染する
・プライベートでの写真をSNSに投稿した中にテレワークで使用した機密文書が写り込んでいた
・外部企業とのテレワーク会議中に会社の機密文書が写りこんだ
・社員が故意に企業秘密を社外に漏洩させ金銭を得ていた
リスクは、扱う情報、端末、権限、働く場所によって変わります。自社の業務に当てはめて確認してください。
テレワークによる情報漏洩のリスクとは
デバイスの紛失や覗き見されるリスク
外出先では、端末の置き忘れ、盗難、画面の覗き見に備え、席を離れる際のロックや携行ルールを確認します。
画面を他人から見られにくい座席やフィルターを使い、機密情報を表示する場所を決めてください。
個人端末利用によるリスク
個人端末を業務に使う場合は、OS更新、マルウェア対策、暗号化、管理権限など、会社の基準を満たすか確認します。 基準を満たさない端末から社内システムへ接続させない仕組みも必要です。
家庭内のネットワークセキュリティのリスク
自宅でテレワークを行う場合は家庭で使われているルーターに接続することも多いと思いますが、家庭内のネットワークのセキュリティ対策が不十分だった場合、情報漏洩の原因になることがあります。
会社が自宅の環境を広く調べるのではなく、業務端末、会社指定の接続方法、ルーターの更新、認証など、仕事に必要な安全基準を示してください。 また、暗号化されていない公共のフリーWi-Fiに繋ぐことは、さらにリスク高くなるという認識を社員に共有しておく必要があります。
内部不正されるリスク
情報漏えいは操作ミスだけでなく、権限の悪用や持ち出しによって起きる場合もあります。
社内での仕事は周囲の目があるためなかなかできませんが、テレワークでは周囲の目がなくなるため、内部不正して情報を不正に持ち出すことが容易になります。 テレワーク中の内部不正を防ぐためには不必要なアクセス権限を与えないなど、これまで以上に対策を練る必要があります。
テレワーク中に情報漏洩が起きてしまわないようにするための対策
テレワーク中の情報漏洩リスクが高いことはこれまでの解説でご理解いただけたかと思います。 働く場所が社内、自宅、外出先に広がる今は、場所に依存しない情報管理を整える必要があります。
情報管理についてのルールを徹底する
まずは、社員たちの情報管理に対する意識向上を行うことで情報漏洩を予防する対策が考えられます。
企業秘密を適切に管理するために、情報の取扱いに関するルールを整備・徹底し、情報のセキュリティに関する説明会や講習を行うことで、社員たちの意識を高めていくといいでしょう。
さらに、万が一機密情報を漏洩させてしまった場合、会社から問われる可能性のある民事上や刑事上の責任を認識させ、情報漏洩リスクの重大性や漏洩防止をすることの重要性を理解してもらうことも有用です。
自己点検についての教育を行う
テレワークでは、上司や教育者の目が行き届かないことが多いため、情報管理について自分で判断したり、問題に気付いたりしなければならない場面が多く出てくるでしょう。
そのため、社員それぞれがしっかりと会社の情報を守っていくという強い責任感を持ってもらう必要があります。そして、その責任感のもとに自己点検を行うように社内で教育を進めていくといいでしょう。 自己点検の点検項目のリストアップも定期的に見直すことをお勧めします。
情報漏洩のリスクの認識を社員それぞれが持っていればフィッシング詐欺やパソコン、USBの紛失などの人為的なミスの防止にもつながります。
セキュリティ対策の強化を行う
システムのセキュリティ対策の強化も欠かせません。パソコンのOSやソフトウェア、ブラウザ、ウイルス対策ソフトが、最新のものにアップデートされているかを毎回確認してもらうように徹底させることが大切です。
また、テレワークに使用するパソコンにアプリをインストールする際は、アプリの安全性や設定には十分注意するよう呼びかけ、可能であれば管理者の許可を求めるような仕組みにするといいでしょう。
デバイスの暗号化による情報漏洩防止
デバイスの暗号化を行っておくことも情報漏洩防止につながります。 端末やUSBを暗号化すると、紛失や盗難時の情報漏えいリスクを下げられます。ただし、暗号化だけで防げるわけではなく、遠隔ロック、アクセス停止、紛失時の報告手順も必要です。
デバイス制御による不正なデータコピー防止
社員が故意に不正をして情報のデータコピーを行うリスクに備えて、デバイス制御を行っておくことも重要でしょう。 スマホ、USB、SDカードなどの利用を業務上必要な範囲に制限すると、無断コピーのリスクを下げられます。制限だけでなく、承認と記録も残してください。
テレワークツールの見直し
テレワーク中の情報漏洩を防ぐためには、テレワークツールの安全性も見直すべきでしょう。セキュリティ性能の高いテレワークツールなのかどうか今一度見直してみることをお勧めします。
セキュリティ機能は製品ごとに異なり、導入だけで攻撃を防ぎ切ることはできません。更新、認証、権限、監視、バックアップを組み合わせてください。
アクセス記録と権限を定期的に見直す
必要以上の監視を行うのではなく、業務上必要なログ、共有権限、退職者アカウント、外部サービスの利用状況を、社内規程とプライバシーに沿って確認します。
万が一テレワークによって情報漏洩が起きてしまったら
漏洩した情報の確認を行う
情報漏洩が起きたことが判明したら、まずは迅速に事実関係を調査してください。
本当に情報漏洩が起きているのか、実際に漏洩したのはどの企業秘密情報なのか、そして今後追加で漏洩しそうな情報はないか、漏洩した経路はどこか、いつ情報漏洩が起きたのか、を特定していきます。 情報漏洩に関する調査をするのが社内で難しいようであれば、調査会社など専門機関に相談するのがいいでしょう。
原因と関与範囲を決めつけずに確認する
端末、アカウント、操作ログ、委託先、設定ミスを確認します。最初から一人の社員を犯人と決めると、原因を見落とすことがあります。
漏洩先を特定する
さらなる被害を防ぐために、漏洩先を特定することも重要です。漏洩した企業秘密が、漏洩先からさらに不特定多数の人物へ漏洩する可能性もあるため、早急に漏洩先を特定し、場合によっては警察などに企業秘密が漏洩した事実を報告しておくことが必要になることも頭に入れておきましょう。
また、情報漏洩が故意に行われたものだった場合、漏洩先が悪意ある行動を取ることを想定して、警察だけでなく法的措置を取るために弁護士への相談も検討することも大切です。
働く場所ではなく、情報の流れを管理する
社内、在宅、出先、生成AIのどこで扱っても、持ち出せる情報と承認者を決めます。事故が起きたら保存、遮断、影響範囲の確認を同時に進めてください。
一人で抱えたまま、答えを決めなくて大丈夫です
今分かっていることを、そのまま短く書いてください。
探偵社スプラッシュ 運営：株式会社DETEcle