個人情報を守るために。

質問

友人から相談されたのですが、私も答えに苦しんだのでご質問させてください。

友人は会社を経営してます。
取引先などの個人情報を数万件抱えており、個人情報流出を不安視してます。
従業員数名程度の中小企業なのでセキュリティに投資出来るほどお金はないのですが、従業員の内部犯行をなんとか防ぐ方法を相談されました。

私はアクセスログなどを取るしかないのでは？と思ったのですが、では具体的にどうしたらいいかも分かりません。
大企業なんかでは、セキュリティ強固な室内などで個人情報は全て管理して、入退室するにも特定の人だけ、しかも入退室記録も取るみたいなやり方をしてるのでは？と思うのですが、同じようなやり方をするといくらかかるのか想像も付きません。

中小企業でも出来るようなセキュリティ管理の手段はありませんでしょうか？

どのカテゴリに質問していいか分からなかったのですが、パソコンに関連することなので、こちらに質問しました。
どうぞ宜しくお願い致します。

回答No.6

root_16 · ベストアンサー

内部犯行の手口としては、
・メディアにコピーして持ち出す
・印刷して持ち出す
・メールに添付
・FTPなどで外部WEBにアップ
・原本をコピーして持ち出す
が主な手口では？
なのでこの手口に対応した対策でないと
内部犯行に有効とは言えない。

なので、原本（帳簿）は鍵で保管し、
鍵の所在が不明（コピーを作られたりしないよう）な
時間を絶対に作らせない（外出時の持ち出し禁止）。

データについてはまず1ヶ所に集める。
次に、アカウントを使用者の数だけ作る。
アカウントの権限を制限し、USBのコントローラーを
停止させて、USBメモリにコピーできなくする。
同じく権限を制限して、CD-Rなどのメディアコピーソフト
など余計なソフトがインストールできないようにする。
インターネットや社内LANに繋げさせず、スタンドアロンにする。
メール経由でも流出させないため。
プリンターにも繋げさせない。
ここまではたいしたコストもかかんない。
ただ不便ですよ。スタンドアロンにすると、年賀状すら出せません。
管理者権限を持つ人だけ、USBを解除して
印刷機と繋げられる、とか工夫はできますが。

次にネットワークカメラを導入して
そのPCを監視し、記録する。
ネットワークカメラは5万くらい、記録は外付けHDDで1万くらい、
LAN敷設と場合によっては給電ハブ（普通の電源でも良い）、
工事費は1～2万（距離によるけど
記録用のPCが遠くである必要なさそうだし）。
ここまで10万以下の対策ですが、抑止効果は高いですよ。

ソフトやシステムでの対策は簡単に数十万から持ってかれるので
数名の従業員だと金銭的に厳しそうですね。

お礼

具体的な方法をご教示くださりありがとうございます。
PCのアカウント権限を制限する方法は考えておりませんでした。
大きなヒントになりました。
ありがとうございました。

回答No.7

root_16

補足
原本をコピーする対策、は結構難しいです。
コピーについてはリースでしょうから、
そういう機能（コピーしたキャッシュとログを取っておく）が
ついてるコピー機に
借り替えるのが良いかもしれません。

もちろん、コピー機も同様にカメラ監視しても良いわけですが。

回答No.5

Ensenada

すいません。再々々度の投稿ですが。
No.3さんの指摘を受けて、No.2の回答を訂正します。

誤）「アナウンスがあるのとないのとでは抑止効果が違います。」
正）「アナウンスが無ければ、情報漏洩の抑止手段にはならず、また、問題が起こったときに原因を突き止めることしかできません」

基本的にはNo.4さんの(手段はともかく)、「情報保護のポリシーが無ければ、情報漏洩防止はできない」というのに賛成。

お礼

ほんとにおっしゃる通りだと思います。
私自身も今回はとても勉強になりました。

回答No.4

FEX2053

まずは、その「個人情報」を一か所に集めて下さい。帳簿なら入れる金庫を指定するとか、PC上のデータなら、ファイルを一個にまとめるとか、とにかく「個人情報が"そこ"にあって、"そこ"以外には無い」という状態を作って下さい。

「個人情報が"そこ"にあって、"そこ"以外には無い」という状態＝「個人情報が管理されている」ということです。逆に言えば「個人情報が物理的にどこにあるか即座に指摘できない」＝「個人情報が管理されてない」ということで、全ての問題以前の状態になります。

「そこ」が決まったら、今度はそれに鍵を掛け、鍵を使うルールを決めて下さい。その鍵もやはり「誰が持っていて、常にどこにあるか」を決めて周知させて下さい。例えば「社長の個人金庫に入って居て、社長にお願いしないと開けられない、かつ、開けたら即時社長に返却する」「社長のパスワードを使わないと開けられない、パスワードは他人には開示せず、かつ月１回必ず変更する」・・・なんてのだけでも、十分にセキュリティ管理になります。

要は、機械に頼る前に個人情報がどこに合って、どのような手続きで使っているかを明確にすることです。セキュリティは全てそういう「ポリシー」から始まり、その「ポリシー」に沿って各種セキュリティ製品が存在しますし、そう言うポリシーがあって始めて「流出しそうな場所」が特定出来るんですよ。

お礼

お礼が遅くなりまして申し訳ございません。
とても勉強になります。
できる限りやってみます。

回答No.3

deltaforce_1

管理しているPCのパスワード管理を厳格にし、書類を鍵付きの場所に保管する
もし出来れば管理用PCへのアクセスが物理的にできない手段（鍵付きの保管場所・エリアに格納する）が望ましいです
それから罰則・規程を作り、従業員の教育をする事が重要です。

アクセスログを取る事は、「問題の特定」には繋がりますが「防止」にはならないかと思います

セキュリティは投資ではありません
個人情報を数万件も扱うような場所にとって、個人情報保護法が無かったとしても
必要なコストの筈です

お礼

お礼が遅くなりまして申し訳ございません。
従業員の教育ももちろん大事ですね。
ありがとうございます。

回答No.2

Ensenada

すみません、質問文に「従業員数名程度」という説明がありましたね。失礼いたしました。

下に挙げたKDDIのサービスは PC5台以上からの契約です。
(同じような料金・内容で情報漏洩対策を行っている企業は、たくさんあると思います。)

あと、大切なのは従業員に「セキュリティ対策が導入されたこと」をアナウンスすることです。
アナウンスがあるのとないのとでは抑止効果が違います。

回答No.1

Ensenada

中小企業といっても、2～3人の会社から500人程度の会社までどのくらいの規模か分からないので、ズバリ直球の回答は難しいです。

フリーウェアのWireShark(本来はネットワークのエラーなどの特定をするために使うためのソフト)を使えば、無料で全パソコンがどこに(ネットワーク上で)アクセスしてどのような挙動をとったか分かりますが、ログを読むのが難しいこと、ログの容量が膨大なこと等難点はたくさんありますね。
(管理者がPCオタクといえるくらいの力量があるのなら、WireSharkでも、ある程度のことはできるでしょう)

KDDI等が法人向けに行っているセキュリティを利用するというのは、いかがでしょう?
http://www.kddi.com/business/pcremote_kanri/ryoukin.html

PC操作ログなら 1台当たり 525円/月
100台でも 5万2500円/月
もちろん無料トライアルもあります。

PC1台のレンタル料金が 1万円～2万円ということを考えれば、そう大きな投資ではないと思います。

回答者はKDDIのまわし者ではありませんが、たまたまKDDIのサービスを知っていたので、このような回答となりました。

ご参考まで。

お礼

お礼が遅くなりまして申し訳ございません。
PC操作ログというのがあるんですね。
どのようなサービスか興味がありますので調べてみます。
ありがとうございます。