次世代型内部不正対策（Forcepoint）

次世代型内部不正対策“Forcepoint”とは？

内部不正の脅威

独立行政法人情報処理推進機構（IPA）が毎年発表している「情報セキュリティ10大脅威」において、「内部不正による情報漏えい等の被害」は2016年のランクイン以降、毎年選出されています。2024年版では3位にランクインしており、組織が対応すべき重要事項であることが見て取れます。

IPA 情報セキュリティ10大脅威 2024 [組織]

順位	「組織」向け脅威	初選出年	10大脅威での取り扱い （2016年以降）
1	ランサムウェアによる被害	2016年	9年連続9回目
2	サプライチェーンの弱点を悪用した攻撃	2019年	6年連続6回目
3	内部不正による情報漏えい等の被害	2016年	9年連続9回目
4	標的型攻撃による機密情報の窃取	2016年	9年連続9回目
5	修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）	2022年	3年連続3回目
6	不注意による情報漏えい等の被害	2016年	6年連続7回目
7	脆弱性対策情報の公開に伴う悪用増加	2016年	4年連続7回目
8	ビジネスメール詐欺による金銭被害	2018年	7年連続7回目
9	テレワーク等のニューノーマルな働き方を狙った攻撃	2021年	4年連続4回目
10	犯罪のビジネス化（アンダーグラウンドサービス）	2017年	2年連続4回目

出典：IPA 情報セキュリティ10大脅威 2024 [組織]

以下の表に外部への流出を避けるべき機密情報の主な分類と、流出した際に起こり得るリスクをまとめました。これ以外にも、報道によるイメージ低下や各種対応によるリソースひっ迫なども想定されます。いずれもクリティカルな事象であると言えます。

情報の種類	流出によるリスク
個人情報	競合に渡った場合：顧客を奪われる恐れ 犯罪者に渡った場合：顧客自身が詐欺やクレジットカード不正利用などの被害に遭う恐れ
技術情報／ノウハウ	技術の転用 最悪の場合、競合による特許取得も起こり得る
クレデンシャル	自社システムへの不正侵入 更なる情報流出やランサムウェア被害も
契約関連／取引情報	取引への影響 株価への影響など

データ保護に必要不可欠なDSPMとは？なぜ組織はDSPMに取り組む必要があるのか？

DSPM（Data Security Posture Management）とは、組織内のデータを可視化／分類することで重要データを明らかにし、それらを継続してモニタリングすることでデータを保護するための手法です。

まずはアクセス制限や取扱い方法などのデータ保管ポリシーを定義した上で、機密情報とROTデータ（重要ではないデータ）を識別し管理することが、情報流出対策の一歩目となります。

また副産物として、不要なデータを洗い出し整理することによりストレージの容量を削減することができ、クラウド利用のコスト低減などにも繋げることができます。

Forcepointでできること

1. ファイルサーバー、クラウドストレージ内のデータを可視化・棚卸
2. ファイル毎の重要度付けと重要度ラベルの付与
3. ユーザーのリスクスコアに応じた情報流出防止のための検知＆ブロック

※プリセットされたポリシー＋AIにより、これら全てを自動で実行可能

従来型DLPとForcepoint（次世代型DLP + DSPM）の違い

DLP（Data Loss Prevention）とは、機密情報の持ち出しを検知し、流出をブロックするためのシステムであり、内部不正対策の実現に必要不可欠です。しかしながら一般的な従来のDLPでは、ファイルを保護するためにアラートやブロックの対象となる行動の定義が複雑になりがちで、設定・構築の難易度が高く、ユーザーの行動制限とファイル保護のバランスが取れずに活用し切れない（もしくは導入を諦める）という課題がありました。そもそもデータの重要度付けを手作業を行う必要があり、導入までの工数が膨大になりがちという点も導入の障害となっていました。

Forcepointは、AIを活用した次世代型DLPとファイルの重要度を自動化するDSPMを掛け合わせることで、従来型DLPで課題であった導入障壁をクリアしました。プリセットされた100を超えるポリシーとAIによりユーザー個々にリスクスコアを付与し、スコアに応じてアラート発報やアクションのブロックを行います。ファイル単位ではなく、ユーザー単位でルールが定義されるというのがForcepointの最大の特徴です。 

	従来型DLP	Forcepoint（次世代型DLP + DSPM）
データの棚卸／ 重要度付け	自動化できない	プリセットされたポリシー＋AIにより自動で分類＆ラベル付与
流出検知＆ ブロック	・ファイルの種類やアクティビティ事の細かな設定が必須 ・行動制限とアラート発報のバランスが導入ハードルの高さに・・・	・AIを活用しユーザー個別にリスクスコアを算出 ・リスクスコアに応じて段階的な行動制限やアラート発報条件を定義 ・ユーザーの利便性とリスク管理を両立

日本国内における内部不正起因の情報流出事件の報道例

業種	報道時期	漏洩情報	概要
自治体	2019年8月	住民の個人情報	元職員が退職日の翌日に荷物整理を口実に執務室に入室。 個人情報を含んだファイルをUSBメモリーにコピーし持ち出したことが発覚。
通信	2020年1月	作業手順書	元従業員が無断で作業文書等を社外に持ち出していたことが発覚。 機密性の高い情報は含まれていないとのことだが、元従業員は不正競争防止法違反で逮捕された。
不動産	2021年3月	顧客の個人情報	元従業員が2度にわたって約5,000件の顧客情報を持ち出していたことが発覚。
金融	2021年12月	顧客の個人情報	元従業員が顧客の個人情報を社外へ不正に持ち出ししていたことが発覚。 元従業員は窃盗の容疑で逮捕された。
飲食	2022年10月	仕入れに関する機密情報	ライバル社に転職した元役員が営業秘密に該当するデータを転職先で不正利用。 元役員と転職先の法人が不正競争防止法の罪に問われた。
航空	2023年8月	業務マニュアル	元従業員が退職直前に「転職先で役立つと思った」ことを動機に業務マニュアルを不正に持ち出ししたことが発覚。
製造	2023年12月	設計データ	元従業員が転職先で利用することを目的に営業秘密に当たる設計データを持ち出した。 元従業員は不正競争防止法違反容疑で逮捕された。
調剤	2024年3月	顧客の個人情報	元従業員が患者の個人情報を印刷し不正に持ち出した。 元従業員は不正競争防止法違反の疑いで書類送検され、さらに共謀したとされる企業も約2億円の損害賠償を求められている。
化学	2024年3月	顧客の個人情報	海外グループの元従業員が退職前に個人情報を不正に持ち出したことが発覚し、欧州の個人情報保護当局に報告。

関連サービス