サイバーセキュリティはますます複雑なものになりつつあり、毎日新たなデジタル脅威が出現しているかのような状況が続いています。もちろん、こうした脅威に対応することは重要ですが、こうした脅威の多くは、データ漏えいのような比較的単純な脅威を基盤としていることに留意することも同様に重要です。したがって、こうした単純な脅威を管理することも重要なのです。
データ漏えいの結果として、フィッシングなどのさらなるサイバー攻撃につながる場合もあります。データ漏えいの事前対策を講じることは、他の種別の攻撃や犯罪を防ぐうえでも役に立ちます。
データ漏えいとは
データ漏えいとは、機密情報がサイバー犯罪者にさらされることです。こうした情報は個人的な情報である場合もあれば、企業や組織に関連する情報である場合もあります。漏えいは、インターネットやメールを介して電子的に発生することも、ノートPCなどのデバイスや、USBや外付けハードディスクなどのストレージデバイスによって物理的に発生することもあります。
被害者が個人であっても、有名企業であっても、データ漏えいは重大な悪影響をもたらします。個人のデータ漏えいがもたらす影響は個人にとって深刻なものとなるのに対して、組織の場合の影響はさらに規模が大きくなり、社会的評価の毀損や大規模な経済的損失などにつながります。
そのため、データ漏えいが発生する経緯、その結果発生する事態、データ漏えいを防止するためのさまざまな方法を理解しておくことが重要です。ビジネスの場合は、従業員のトレーニング、データ流出防止テクノロジーの使用、ダークウェブ監視の使用といった緩和戦略を、組織レベルでどのように実装するかを学ぶことが特に重要です。
データ漏えいとデータ侵害の違い
「データ漏えい」と「データ侵害」は、一般の人にとっては同じ意味の言葉です。ただし、この2つの違いを理解すると役に立つ場合があります。
単純に、データ漏えいは機密情報が偶発的にさらされることで、データ侵害はサイバー攻撃によってデータが意図的に盗まれることです。どちらの場合も機密情報の流出を伴いますが、それぞれの背景にある意図と原因は異なります。
具体的には、データ漏えいは不注意や関係者の行動の結果であり、データ侵害はぜい弱性の悪用などの攻撃者の意図的な行動の結果です。
確かに、この2つの言葉の境界は若干あいまいです。これは、サイバー犯罪者はデータ漏えいから収集した情報を使用してデータ侵害を実行することが多いためです。たとえば、従業員のログイン資格情報の漏えいを利用して、企業への大規模なデータ侵害が開始される可能性があります。
データ漏えいはどのように起きるのか
データ漏えいは必ずしもサイバー攻撃の結果ではないことを理解することが重要です。むしろ、人為的ミスや悪意のある行動の結果であることが多いです。このように、そもそもデータ漏えいがどのように発生するのかを理解することが、データ漏えいを未然に防ぐ最も重要な対策の1つとなります。
データ漏えいの最も一般的な経緯をいくつか紹介します。
-
不適切なインフラストラクチャ：間違った設定や権限、古いソフトウェア、不適切に構成されたネットワークは、すべてデータ漏えいの経路となる可能性があります。
-
ソーシャルエンジニアリング攻撃：これらは、絶えず発生するサイバーセキュリティの脅威です。フィッシングやスピアフィッシングなどがこれに含まれます。
-
不適切なパスワード対策：多くの人は、たとえばパスワードを再利用したり保護効果の低いパスワードを作成したりして、クレデンシャルスタッフィングや辞書攻撃によってログイン情報を容易に推測できるようにしています。
-
デバイスの紛失：紛失したデバイスをサイバー犯罪者がハッキングした場合、そのデバイスに保存されているすべてのデータにアクセスされる可能性があります。
-
ソフトウェアのぜい弱性：サイバー犯罪者はソフトウェアの弱点を容易に悪用できるため、データ侵害などのさまざまな事態につながる可能性があります。したがって、データ侵害を防ぐには、ソフトウェアを常に最新の状態に維持し、最新のセキュリティパッチを適用することが必要不可欠です。
-
人的要因：不満を抱いた従業員や第三者が、企業または組織を標的に自発的にデータを漏えいさせるケースもあります。
-
不注意：機密情報が外付けハードディスクやUSBに保存されたり、書き留められたりして、他人がアクセスできる場所に置き忘れられるケースもあります。
データ漏えい防止ソリューションでは何を保護できるか
データ漏えいが発生すると、大まかな結果として、サイバー犯罪者が情報を蓄積して、金銭やその他の営利目的でその情報を利用します。サイバー犯罪者が自分の利益のために窃取して利用できるデータの種別はさまざまです。個人に関連するものもあれば、企業や組織に関連するものもあります。
データ漏えいで狙われるデータの種別の一例を紹介します。
- 個人を特定できる情報（PII）：これらは、メールアドレス、マイナンバー、クレジットカード番号、生年月日など、個人に紐付けられたデータです。こうしたデータを利用してなりすまし犯罪が行われる可能性があります。
- クライアントまたは顧客のデータベース：これらには、個人情報、アカウント情報、決済情報、注文履歴などが含まれる可能性があります。
- 企業情報：社内の文書やメール、アカウント、業績の統計や見通し、戦略や計画、人事記録など、企業の機密情報が漏えいするケースは珍しくありません。
- 企業秘密と知的財産（IP）：これは、企業に競争優位性をもたらす機密情報です。特許取得済みの設計や製法、専有テクノロジー、ソースコード、商業戦略などが含まれます。
- 財務に関する情報：これは、納税記録、銀行の取引明細書、請求書など、個人または組織の財務に関するデータです。
- ログイン資格情報：たとえば、標的のメールアカウントやソーシャルメディアアカウントの乗っ取りを実行するために利用できるユーザー名とパスワードなどです。
サイバー犯罪者は、漏えいした前述の情報を入手することで、なりすまし犯罪、金融詐欺、恐喝などのさらなる犯罪を実行できるようになります。個人と企業が、データ流出を防止するサイバーセキュリティの強化に対し、意識を高める必要があるのはこのためです。
漏えいした情報はどのように利用されているのか
このような貴重なデータがすべてサイバー犯罪者の手に渡ると、サイバー犯罪者は数多くの犯罪を実行できるようになります。このことが、データ漏えいが非常に危険である理由であり、データ漏えい防止が非常に重要である理由でもあります。攻撃者は、データ漏えいから入手した情報を利用して、次のことを行うことができます。
- ソーシャルエンジニアリング の技術を利用してフィッシング攻撃などのさらなるサイバー犯罪を実行します。
- クレジットカード詐欺などのさまざまな種別の金融詐欺を行います。
- 標的の個人情報を盗みます。
- 標的に対するドクシングキャンペーンを開始します。
- 不適切な目的で、諜報および監視で使用されるデータベースに情報を追加します。
- 企業の評判に悪影響を与えます。
- 業務の中断を発生させます。
- ダークウェブで他のサイバー犯罪者にデータを販売します。
- 金銭目的で標的の個人または組織を恐喝します。
サイバーセキュリティのためのデータ流出防止
データ漏えいは、デジタルファーストの社会で絶えず発生している脅威です。サイバー犯罪者は、今後もますます巧妙な手法を駆使して、こうした攻撃を行うでしょう。ただし、こうした攻撃が成功する可能性を最小限に抑えるために、ユーザーが実施できる戦略や対策がいくつか存在します。データ漏えいを未然に防ぐための推奨されるベストプラクティスをいくつか紹介します。
- データの漏えいを防ぐために、データのセキュリティ対策を実施して、定期的に監査します。このことは、規制の遵守の面で特に重要です。
- 組織のシステムに保存された機密情報を保護するためのデータ流出防止ツールを使用します。
- アクセスとアクティビティを監視します。ネットワークを可視化すると、疑わしいふるまいを特定しやすくなります。これは、データ侵害を防ぐ方法の重要な要素です。
- 最小権限の原則に従い、従業員、請負業者、またはその他の関係者からデータ漏えいが発生する可能性がなくなるように、こうした個人がそのそれぞれの役割に必要なデータにしかアクセスできないようにします。
- 組織全体でサイバーセキュリティ意識向上トレーニングを実施し、従業員が最新の脅威とその回避方法を把握できるように、定期的に見直しを行います。
- 古いデータと不要なデータを定期的に削除するか、アクセスが困難になるようにメインネットワークとは別の場所に保管します。
- 信頼できるパスワードマネージャーを使用するなど、強力なパスワードとセキュアなパスワード管理システムを実装します。
- サプライチェーン攻撃によるデータ流出を確実に防止するために、第三者のリスクを継続的に評価および監視します。
- 内部ソースからのデータ漏えいを防ぐために、厳格なオフボーディングシステムを整備し、従業員の退職時に、ネットワーク、ファイル、デバイス、およびその他の潜在的な攻撃経路に対するその従業員のアクセスを不能にします。
- 可能な場合は、多要素認証と生体認証を使用して、組織のデバイスとシステムへのアクセスを保護します。
- 最もリスクの高い機密情報の保護には、データ暗号化の使用を検討してください。
- ダークウェブを継続的に監視することで、侵害に関連する偽の投稿と本物の投稿を両方検出したり、悪意のあるアクティビティの急増を追跡したりすることができます。ダークウェブ監視はリソースを大量に消費するため、この役割は外部の専門家が担うことが多いです。
漏えいとデータ侵害を未然に防ぐ方法を学ぶ
データ漏えいはデータ侵害の最初のステップであることが多く、こうしたインシデントは、特に企業に深刻な影響を及ぼす可能性があります。そのため、組織は独自のデータの保護について特に意識を高めて、問題を把握するための措置を講じて、データ漏えいを防ぐための戦略を実施する必要があります。そのための1つの方法として、従業員がデータ漏えいの脅威を理解し、基本的なサイバーセキュリティの安全原則を身に付けられるように、包括的なサイバーセキュリティ意識向上トレーニングを実施するとよいでしょう。ただし、組織のデータの保護や、データ流出防止ツールの使用など、他の措置を講じることも重要です。これらの連携により、データ漏えいの可能性と、企業が他のサイバーセキュリティの脅威にさらされる可能性を最小限に抑えることができます。
関連記事とリンク：
関連製品とサービス
