情報セキュリティの原則と基礎

情報セキュリティプログラムの構築においては、適切な人物にアクセス権を付与すると同時に、不正な閲覧や使用からコンテンツを保護することが求められます。また、権限のない人物による改ざんや削除を防止することも重要です。情報セキュリティにおける主要な原則である守秘性（Confidentiality）、完全性（Integrity）、可用性（Availability）は、コンテンツの保護と保全の指針となります。

これらの情報セキュリティ原則は、CIAの3要素に由来します。米国中央情報局との混同を避けるため、AICの3要素と呼ばれることもあります。この概念は、データの伝送中と保存時における取り扱いをガイドする指標として機能します。これら3つの基本原則を理解することは、コンテンツを適切に保護・保全する方法を学ぶうえで重要です。以下に詳しく説明します。

基本原則

情報セキュリティプログラムを構築し、社内データを保存するためのプラットフォームを評価するときには、情報セキュリティの3原則を常に念頭に置くことが重要です。採用するプラットフォームはいずれも、これら3原則の全てが何らかの形で担保されている必要があります。

1. 守秘性（Confidentiality）

守秘性の原則は、コンテンツを閲覧する権限または許可を持つ者だけが閲覧できることを保証するものです。これを実現するには、守秘性を確保するための制御策が必要です。具体的な制御策の例を以下に示します。

識別
認証
権限付与
暗号化

コンテンツによっては、より強力な保護が必要なものがあります。例えば、マーケティング用途の動画のように一般公開すべき情報がある一方で、予算関連の資料や従業員の個人情報などは、アクセスを制限する必要があります。したがって、コンテンツの分類は、守秘性を確保するうえで重要な要素となります。

守秘性の原則を軽視することは、コンテンツやデータの漏えいを招く直接的な要因となります。コンテンツの保護措置や制御策が不十分な場合には、権限のない第三者が容易にアクセスできるような状況を許してしまいます。悪意ある攻撃者がシステムに侵入し、個人識別情報（PII）をダウンロードし、それを外部にばらまく事態が起こるおそれがあります。情報漏えいは、多大なコストをはじめとするさまざまな損失をもたらします。実際に、一度の情報漏えいによる被害額は平均390万ドルにおよびます。

悪意ある者によるコンテンツへの不正アクセスは、被害を受けた企業のレピュテーションの失墜につながります。個人データの安全管理に不備があると見なされた場合には、顧客の離脱を招くおそれがあります。

また、守秘性の欠如は、競争優位性の喪失にも直結します。競合他社に研究開発の動向や新製品の仕様が流出すれば、アイデアの模倣や、類似製品の先制的な市場投入を許すことになりかねません。

Boxのインテリジェントコンテンツ管理は、守秘レベルに基づいたコンテンツの分類を可能にします。Box Shieldは、コンテンツの手動または自動分類をサポートしており、自動分類の場合には、コンテンツ内の特定のキーワードや個人識別情報を検知し、あらかじめ設定したポリシーに基づいてコンテンツを分類します。分類が実行されると、スマートアクセスポリシーを自動的に適用し、外部共有、印刷、ダウンロードなどの制限を実施します。

さらに、Box Shieldは、不審な場所やセッションからの脅威に加えて、従業員による異常なダウンロードなどの行動も検知します。

2. 完全性（Integrity）

完全性は、3原則の2番目の要素です。コンテンツは、保存時・転送時を問わず、あらゆる段階で整合性、正確性、完全性を保つ必要があります。権限の有無にかかわらず、ユーザーによるデータの完全性を損なうような改変は防止しなければなりません。

コンテンツの完全性が重要な理由は、データの整合性や正確性を損なうような改変は、いかなるものであっても被害をもたらすおそれがあるためです。

1980年代初頭、米国シカゴ近郊で販売されたタイレノールの特定のロットが改ざんされる事件が発生ました。何者かが工場出荷後から店頭に並ぶまでの間に、製品の瓶の中に猛毒のシアン化合物を混入させたのです。当時は、誰かが薬に細工をしたかどうかを検知する手段はありませんでした。その結果、毒の入った鎮痛剤を服用した数名が命を落としました。

この事件を契機に、医薬品の完全性を保護するためのプロトコルが開発されました。現在、タイレノールをはじめとする市販薬の瓶には、開封確認シールが施されており、第三者が包装を開封したかどうかを一目で判別できるようになっています。また、タイレノールの製造元は、第三者がカプセルを開けて異物を投入するのを防止するため、錠剤自体のデザインも変更しました。

これは、製品の品質と完全性に影響を及ぼす物理的な改ざんの事例です。同様に、デジタルコンテンツにおいても、第三者が完全性を損なう改ざんを行う方法が存在します。例えば、製品の錠剤に物理的にシアン化合物を投入する代わりに、悪意のある者が製造処方を改ざんし、製造段階で毒物が混入するように仕向けることも想定されます。

これは非現実的なシナリオに思えるかもしれません。しかし、悪意のある第三者がデジタルファイルに細工をして実害を及ぼす手法は数多く存在します。例えば、従業員の給与振込口座の番号を改ざんし、給与を別の銀行口座に振り込ませる手口です。

完全性は守秘性と密接に関連しています。そもそも権限のないユーザーがコンテンツにアクセスできない環境を整えれば、改ざんを未然に防ぐことができます。守秘性の制御に加えて追加の措置を講じることで、コンテンツやデータの完全性を保護できます。例えば、監査ログを確認すれば、コンテンツに対して誰が何を行ったかを追跡できます。また、バックアップ管理機能を利用すれば、削除されたコンテンツを回復させることができます。

3. 可用性（Availability）

可用性は、アクセス権限を持つユーザーが必要なときに情報やコンテンツにいかにスムーズにアクセスできるかを意味します。社内データの守秘性を確保すると同時に、必要とする人が確実にアクセスできる状態に維持することが重要です。Boxのインテリジェントコンテンツ管理は、データの可用性を確保する有効な手段の1つです。権限を付与された従業員は、適切なアクセスレベルと認証ツールを保有している限り、インターネットに接続可能なあらゆるデバイスからコンテンツにアクセスできます。

可用性を左右する主な要素について説明します。

コンテンツに「どこから」アクセスするか

コンテンツの可用性は、ユーザーの地理的な場所によって異なる場合があります。例えば、特定のスプレッドシートへのアクセスを特定の国に限定する場合や、自社のオフィスビル内からのアクセスに限定する場合などがあります。また、あるコンテンツに対して特定のデバイスからはアクセスできても、別のデバイスからはできないなどの制限も考えられます。

コンテンツに「どのような方法で」アクセスするか

コンテンツへのアクセス方法は、ユーザーの提示する認証情報によって決定されます。例えば、ユーザー名とパスワードによる認証に加えて、二要素認証を有効にする方法が考えられます。

コンテンツに「いつ」アクセスするか

アクセスに時間制限を設ける必要がある場合もあります。例えば、派遣社員は契約期間中のみドキュメントにアクセスできる、ベンダーは共同プロジェクトの期間中のみ動画にアクセスできるなどの設定が考えられます。

ソフトウェアとハードウェアの保守管理も、可用性を確保するうえで重要です。頻繁なクラッシュや、長時間のダウンタイムは、ユーザーが必要なときに適切な手段でコンテンツへアクセスすることを妨げます。ハードウェアの利用条件も、可用性に影響を及ぼします。ドキュメントの印刷が必須であるケースや、特定のコンテンツへのアクセスに専用コンピュータを介す必要があるようなケースでは、そのコンテンツの可用性は限定的であるといえます。

Boxを利用することで、Webアプリケーション、モバイルデバイス、デスクトップアプリケーションのBox Driveを通じてコンテンツにアクセスできます。可用性とセキュリティの両立は不可欠です。そのため、Boxは99.9%の可用性をSLAで保証し、SSAE 16 Type 2準拠のデータセンターを運用し、あらゆるデバイスからのゼロトラストのコンテンツアクセスを提供します。デバイストラスト（Device Trust）機能により、管理者は、デバイスのオーナーシップ、ドメインのメンバーシップ、その他のデバイスソフトウェアやセキュリティの設定を検証できます。

情報セキュリティ3原則のバランス

情報セキュリティの原則は、クラウド、オンプレミスなどの保存場所にかかわらず、互いに連携してコンテンツを保護することを意図しています。情報セキュリティ3原則は、次のことをめざしています。

コンテンツを保護する
コンテンツの正確性を保証する
コンテンツのアクセス性を維持する

情報セキュリティの3原則を維持するにあたっては、原則間のバランスを取る必要があります。情報漏えいを完全に防止し、コンテンツの完全性を保ち、同時に100%の可用性を維持するのは、いかなる組織にとっても容易なことではありません。3つの要件をバランスよく満たす、実行可能な対策に注力し、コンテンツの保護、正確性、アクセス性の維持を可能な限り高い水準で確保することが重要です。

3つの原則をバランスよく満たすための1つの方法は、現在直面しているリスクと、それらが各原則に及ぼす影響を正確に把握することです。例えば、ランサムウェアは、多くの場合にコンテンツの可用性に影響が出る事態を発生させます。代表的なものに、ファイルを暗号化して読み取り不能にするマルウェアがあります。このような攻撃を受けたデバイスは、マルウェアが除去されない限り、実質的に使用不可能な状態となります。このように、ランサムウェアがコンテンツの可用性を損なう仕組みを正しく理解することは、効果的な対策を講じるうえで重要です。

クラウドバックアップを利用することで、ランサムウェアの影響でコンテンツへのアクセスが阻害される事態を回避できます。マルウェアが特定のデバイスへのアクセスを遮断しても、コンテンツがクラウドにも保存されていれば、攻撃者に身代金を支払って復号キーが届くのを待つ必要はなく、引き続きコンテンツにアクセスできます。

Box Shieldもランサムウェア対策に力を発揮します。自動マルウェア検知機能により、ファイルはアップロード時にスキャンされます。マルウェアを検知した場合には、ファイルを悪意のあるものとして分類し、ダウンロードやローカルでの編集を制限するセキュリティ制御を適用し、感染の拡大を阻止します。一方で、ユーザーはオンラインでコンテンツの閲覧や編集を継続できるため、生産性が損なわれることはありません。異常検知時には管理者に通知が届きます。SIEMやCASBツールへのアラートを発行することも可能です。

特定のリスクや脅威が1つの原則のみに影響を及ぼすケースもあれば、複数の原則にまたがるケースもあります。特に、守秘性と完全性は密接に関連しています。権限を持たない人物が不正に情報にアクセスし、さらに実害を与えるため、あるいは不当な利益を得るためにその情報を改ざんするケースです。攻撃者がベンダーへの振込先情報を窃取・改ざんし、本来のベンダーではなく自身の口座へ不正に送金させるという手口がこれに該当します。

情報セキュリティの制御

情報セキュリティの3原則を保護するために、複数のセキュリティ制御策を活用する方法があります。3原則をバランスよく満たすには、複数の制御策を組み合わせる方法が有効です。Boxのインテリジェントコンテンツ管理プラットフォームには、アップロードされるあらゆるデータの正確性・可用性・守秘性を確保するためのさまざまなセキュリティ制御策が備わっています。

1. 認証

認証制御は、コンテンツにアクセスしている人物が、正しく権限を付与された本人であることを保証します。手法としては、コンテンツの所在に応じて、デジタルまたは物理的な手段が選択されます。主なものを以下に示します。

識別

識別制御には、文書保管室などの特定エリアへの入室時に社員証（バッジ）をスキャンするような物理的手法があります。その他の物理的な識別制御には、指紋や網膜スキャナがあり、デバイスや施設へのアクセスを許可する前に本人確認を行います。クラウドやオンプレミスに保存されたデジタルコンテンツの場合は、ユーザー名やメールアドレスが識別の役割を果たします。

パスワード

パスワードは、認証における追加レイヤーを形成します。攻撃者による推測のリスクを最小限に抑えるため、従業員に、パスワードの作成、定期的な変更、強力なパスワードの設定を義務付ける場合があります。

二要素認証

二要素認証（2FA）または多要素認証（MFA）は、コンテンツへのアクセスを許可する前に、ユーザー名とパスワードに加えて少なくとも1つの追加の認証を必要とします。2FAにはさまざまな形式があります。一般的な方法として、モバイル端末にテキストメッセージで認証コードを送信し、それを入力させるものや、モバイル端末にあらかじめ専用アプリをダウンロードさせておき、ログイン時にアプリ内の承認ボタンをタップさせるものなどがあります。

認証制御は、コンテンツの守秘性を保護する一方で、コンテンツを利用する正当な権限を持つ従業員が正しいパスワードや識別手段を常に保持しなければならないため、コンテンツの可用性にも影響を及ぼします。

2. アクセス制御

コンテンツの守秘性を保護するもう1つの方法は、アクセスの制限です。アクセスの範囲を限定・拡大する制御策について説明します。

コンテンツの分類

コンテンツの分類は、誰が何を閲覧・編集できるかを決定するための1つの手段となります。コンテンツの閲覧・編集を、リンクを知っている人全員に許可する、招待者だけに限定するなどの設定が可能です。Box Shieldは、ファイル内の特定の用語やキーワードを検出して分類プロセスを自動化する機能を提供しています。

有効期限付きリンク

外部のベンダーや個人との共同作業において、コンテンツへのアクセス権を無期限に付与したくないケースがあります。付与する権限に有効期限を設定することで、アクセスを制御できます。相手はリンクの有効期限内のみ閲覧や編集が可能になります。期限後も引き続き作業が必要な場合は、新しいリンクを再発行するだけで作業を再開できます。

アクセス権限リストの更新

従業員の退職や異動は日常的に発生します。退職した人物が引き続き情報やコンテンツにアクセスできるような状態を防止しなければなりません。定期的にアクセスリストを更新することで、正当な閲覧・編集権限を持つ者のみがアクセスを継続できる状態を維持できます。また、リストを適切に管理することで、新入社員が必要な権限を迅速に取得し、滞りなく業務に従事できるようになります。

3. 暗号化

コンテンツを暗号化することで、守秘性と完全性を制御できます。暗号化とは、平文のコンテンツを暗号文に変換することを意味します。販売契約書、スプレッドシート、メールなどの平文ドキュメントに攻撃者がアクセスした場合に、内容は簡単に読み取られてしまいます。しかし、データが暗号化されていれば、不正にアクセスされたとしても、復号鍵を所持していない限りは内容を読み解くことはできません。

鍵の長さは、強度と有効性を決定します。一般的に、鍵が長いほど安全性は高まります。セキュリティ上、80ビット鍵が最小限の強度とされていますが、Boxのプラットフォームでは、米国商務省配下の国立標準技術研究所（NIST）が推奨する強度である256ビット鍵を使用しています。256ビット鍵を解読しようとすると、2の256乗通りの組み合わせを試す必要があり、最新の高性能コンピュータでも非現実的です。

暗号化を使用することで、データが保存されている間も、コンピュータ間で送信されている間も、コンテンツを保護できます。

4. いつでも、どこでも、ファイル履歴にアクセス

コンテンツに対するアクセス権限の管理に加えて、どのように変更されたかを管理することも必要です。コンテンツの完全性は、さまざまな要因によって損なわれるリスクがあります。例えば、スプレッドシート編集時の単純なミス（小数点の位置間違い、顧客名の誤記など）や、攻撃者によるコンテンツの改ざん（原型をとどめないほどの書き換え）などが挙げられます。

ファイルのバージョン履歴が可視化されていることで、万が一、第三者によってコンテンツが改ざんされた場合でも、過去のバージョンと比較して何が起きたかを確認し、侵害された内容を排除することができます。

コンテンツのバージョン履歴を維持するための主なオプションについて説明します。

Boxのインテリジェントコンテンツ管理

Boxは、単一のクラウドプラットフォーム上でコンテンツのバージョン管理を自動的に行います。すなわち、データは、オンプレミスのサーバーではなくインターネット上のクラウドサーバーに保存されます。物理的なコンピュータに障害が発生した場合や、コンテンツが侵害された場合でも、クラウドに保存されたバージョンに迅速に復元できます。

USBドライブ

別のバックアップのオプションとして、USBドライブへの保存があります。USBは小型ながら大容量です。クラウドベースのバックアップとは異なり、USBへのバックアップは自動プロセスではなく、手動で行う必要があります。また、USBドライブは小型であるため、紛失や盗難のリスクが伴います。

ネットワーク接続ストレージ（NAS）

NASデバイスを使用することにより、コンテンツの自動バックアップが可能になります。クラウドベースのバックアップとは異なり、NASデバイスは、物理的なハードドライブにデータを保存します。必要なストレージ容量によっては、システムが高コストになる可能性があります。USBドライブと比較してサイズが大型ではあるものの、デバイス自体が盗難にあうおそれも否定できません。

Boxでコンテンツを保護

コンテンツの守秘性と完全性を確保すると同時に、いつでも必要なときにアクセスできる可用性を維持したい場合には、Boxがお役に立ちます。Boxのインテリジェントコンテンツ管理プラットフォームは、暗号化、認証ツール、コンテンツの分類を通じて、コンテンツをエンドツーエンドで保護します。スプレッドシート、動画、契約書など、あらゆるタイプのコンテンツに対して、誰が何を行えるかを詳細に設定できるユーザー制御機能を備えています。また、GDPR、FINRA、HIPAA、GxPなどの規制を遵守するように設計されています。

Boxのエンタープライズレベルのプランは、セキュアな環境を構築し、スムーズなワークフローを実現することで、組織の力を最大限に引き出せるよう設計されています。Boxによるコンテンツの保護に関するご相談・お問い合わせ、お見積りのご依頼をお待ちしています。

**Boxは、高度なプライバシー、セキュリティ、コンプライアンスを備えた製品とサービスの提供に尽力しています。ただし、この記事で提供される情報は、法的助言の提供を意図したものではありません。適用される法律に対するコンプライアンスを検証する際には、お客さまが自らデューデリジェンスを実施することを推奨します。