内部不正に係る個人情報セキュリティ対策とは

内部者による個人情報の流出

IT利用者、利用シーンの多様化、インターネットを介したコンシューマ向けビジネス機会の増大に伴い、大量の個人顧客データの収集・活用は必然となっています。一方で、大量の顧客個人情報の外部流出は、事業に大きな影響を及ぼします。

本サービスの概要

本サービスは、多岐・複雑な内部犯行の発生要因について、情報管理の側面から、貴社顧客個人情報の流出につながる環境を検出し、状況を評価いたします。
貴社におかれましては、内部不正対策の一環として、検出した環境の改善につなげることで、流出機会の低減に寄与いたします。

報告書イメージ

検出事項
データベース管理者が、制限区画への私物持込ルールは形骸化しており、私物スマートフォンの持ち込みが可能であります。かつ、管理者用PCにスマートフォンを接続し、デバイス側からデータ同期が可能であるため、未許可の持ち出しが直ちに可能な環境です。 データベースのアクセスログ及びPCの操作ログを収集・保存しているものの、監視・分析が実施されていないため、未許可の持ち出しを検知できない環境にあります。

改善提言
ユーザデータのローカル保存を禁止する。 データベース管理者のユーザIDに管理者用PCのローカル特権がないことを確認するとともに、当該PCのデバイス制御ツールがスマートデバイスの使用制限に対応していることを確認する。 制限区域への持込ルール、監視カメラ等のモニタリングを見直す。 データベース管理者の業務内容を見直し、ユーザデータの保守業務及びユーザデータへのアクセス権限を分離する。 今後、同様の技術変化に対し、現在のコントロールが新たな脅威に対して有効であること、脆弱性がないことを、定期的及び必要に応じて見直すことを定め、見直し結果を責任者に報告する。

想定イメージ