情報セキュリティへの意識は年々高まってきているとはいえ、いまだに情報漏えい事故などのニュースが毎日のように報道されているのも事実だ。そんな状況を受けて、NTTコムウェアでは、独自の実績とノウハウを持つRFID技術を活用した「端末持ち出し管理システム」を自社内で構築・運用してきた。セキュリティリスクの軽減や社員の意識向上に大きな効果をあげているそのシステムの概要や特長について、エンタープライズ・ソリューション事業本部 RFID推進室 青木謙二郎に聞いた。
「RFID技術」を中心に、申請から違反対応までのプロセスを確立
―――「端末持ち出し管理システム」を開発した背景について教えてください。
「個人情報保護法」が全面施行されてから2年以上になりますが、ご存じのとおり個人情報の漏えい事故は後を絶ちません。CSR（企業の社会的責任）への意識が高まる中、いまや情報セキュリティは企業経営の根幹にかかわる課題といえます。
個人情報漏えい事故を経路別にみると、「パソコン本体の持ち出し」によるものが全体の20％を占めるという調査結果があります。また別の調査によれば、ノートパソコンなどのモバイル情報機器の社外持ち出しを、「社員の自己判断」に任せている企業が5割を超えているのです。
こうした実態を改善するためには、パソコンの無許可持ち出しを防ぎ、持ち出すとしてもセキュリティ対策の施された端末に限定するような仕組みが必要になります。
NTTコムウェアでは以前から、お客様情報などを記録した端末はもちろん、全ての端末の社外持ち出しを原則として禁止したうえで、持ち出すに当たっては上長の許可を得るといった手続きを運用してきました。しかし、申請の稟議手続きが紙の様式で行われていることや、申請のあった端末のセキュリティ対策状況を当該部門のセキュリティ担当者がそのつど端末にログインしてチェックしなければならないなど、効率的とは言えず、こうした「手続きが面倒」ということが、結果として無許可持ち出しを生み出す恐れがありました。
そこで、自社のリソースなども有効活用しながら、使いやすく実効性のある「端末持ち出し管理システム」を開発したのです。現在は社内約3,000台のノートパソコンを対象に運用しています。
―――システムの概要を教えてください。
個々の端末にRFIDタグを貼り付け、社屋の出入口に設置したリーダで、持ち出し許可の有無をチェックします。未申請端末、申請しているが承認されていない端末などのセキュリティポリシー違反端末が検知されると、セキュリティガードセンタのディスプレイに警報が表示されたり、警報音が発せられたりします。自ら電波を発信する「アクティブ型RFID」を使用していますので、端末がカバンなどに入れてあっても問題なくリーダで読み取ることができます。
このように、RFID技術がこのシステムではひとつのキーになっていますが、もうひとつのキーといえるのが、持ち出しの前段階、申請から承認に至るワークフローです。
手続きはすべて電子化され、「申請サーバ」を介して行われます。まず申請者は、持ち出し理由や期間、対象端末情報、社員による遵守事項の宣誓などを入力して申請を行います。その後、その部署のセキュリティ担当者が端末のセキュリティ対策状況を確認します。具体的に言うと、暗号化・指紋認証ソフトの導入状況とOSのバグフイックスパッチ・ウイルススキャンソフトの定義ファイルが最新化されているかどうかなどです。
こうした情報は、弊社の場合、全社導入しているIT資産管理ソフトウェアの「AdminITy」のデータベースから収集する形を取っています。セキュリティ担当者は、チェックがすんだらその結果を入力。そして最後に、管理職である承認者が、申請者とセキュリティ担当者の入力情報を確認して、最終決裁を行います。これで端末は持ち出し可能になるわけです。
面倒な手続きのように思えるかもしれませんが、すべて電子化されているうえ、「AdminITy」のデータを利用するなど効率よくスピーディなワークフローになっています。書類の不備や改ざんなどもありえない確実な仕組みです。
「AdminITy」と連動した持ち出し申請ワークフローと、RFIDによる端末検知。この2つの組み合わせによって、「端末持ち出し管理システム」は実効性のある情報セキュリティ対策となっているのです。
―――違反持ち出しが検知された場合はどうなるのでしょうか。
まずセキュリティガードセンタのディスプレイ上で赤色点滅によって違反の発生が表示され、警報音も発せられます。実は、同様のディスプレイが社員の通過する廊下にも設置されており、違反端末だけでなく持ち出し承認された端末の検知結果も逐一表示しています。これは、「端末の持ち出しが常時監視されていますよ」ということを目に見えるように示すことで、心理的な抑止効果や意識啓発効果をねらったものです。
一方、違反持ち出しの警報メールが、端末所有者自身とその上長に送信されます。これに基づいて状況の調査が行われ、実際に違反があったとなれば、違反者への警告・指導や、再発防止策の検討などがなされることになります。
このように、事前の申請手続きから違反発生後の対応までを一連のプロセスとして確立し運用することによって、管理体制強化と社員の意識向上の両面から情報漏えいリスクの低減を図るのが、このシステムの最大の目的だといえます。
