スマホからの情報流出を止めろ！

ここ最近、急激に業務上でスマートフォンを使う企業が増えてきました。経営者自らトップダウンで採用している企業も少なくありません。

以前にもここで書きましたが、タブレット端末を含め、スマートフォンは単なるツールに過ぎません。上に載るアプリケーションが必要です。

そこで今朝の新聞記事です。ウィルス感染により、アンドロイド端末が感染し、電話帳に登録されている個人名や電話番号が勝手に外部サーバへ送信されていたことが判明したとのこと。実に数十万～数百万人もの個人情報が流出した恐れがあるようです。

端末紛失に起因する情報漏えい対策に加え、ウィルス対策にも関心を持たなければなりません。そのためには、容易に出所不明のアプリケーションをダウンロードしない、業務上で必要の無いサイトにアクセスしないなど、考慮しなければならないことは沢山ありますが、端末上の搭載情報以上に企業内の機密情報は膨大です。社外から企業内ネットワーク（VPN）への接続はしっかりと対策を講じなければなりません。

スマートフォンの業務活用は大変有効で、今後も増えてくるでしょう。そのため、情報セキュリティの三原則、「機密性の確保（情報漏洩対応）、完全性の確保（情報改ざん対応）、可用性の確保（障害対応）」や、モバイル活用の自社内での定義を改めて検討し、情報管理責任者は使用者の個人任せにしないようにしましょう。

また、アンドロイドは危険でiPhone（iOS）は安心と言う訳ではありません。ブラウザを経由すればフィッシングサイトにたどり着くこともあります。審査が厳しいアップルですが、App Store内には海賊版の書籍が登録されていたり、動きの怪しいアプリや、明らかに盗撮を目的とするアプリもあります。また、アップルの審査を潜り抜けたとの開発者コメントもネット上では存在します（信憑性は図れません）。まぁ、人間が判断するものですから「完全」は有り得ませんが。。。

情報を読む力、使う力、守る力。

米グーグル本社へ「サジェスト機能」の表示差し止めに対し、「東京地裁は仮処分の申請を受理した」と、今朝の新聞に掲載されていました。

サジェスト機能とは、検索フォームに検索したい単語を途中まで入力すると、途中でフォーム下部に入力者が求めているであろう予測単語や補足情報が複数表示される補助機能のことです。

申請した男性は、自分の名前で検索したところ、犯罪に加担したかのような中傷記事がサジェスト候補として表示されることから被害を被っているとのこと。現状、グーグルの検索エンジンの仕様・削除審査基準は公表されていません。

情報が氾濫する中、プライバシー等は自分で守らなければなりませんが、一旦、ネット上で誹謗中傷されると消えることなく残り続けます。ウィルス感染した際に盗まれ、不正公開された画像や個人情報は人から人へ、国内外を問わずコピーが繰り返されます。回収することは事実上、不可能なんです。

漏洩した個人情報から心無い輩の悪戯にて職を失ったり、引越しを余儀なくされたり、家族が離散したりと、人生を狂わせる事象が後を絶ちません。

数年前、某会社役員が犯罪を犯し、大きく報道されました。その際、全く無関係である同名の会社が風評被害を被り、ホームページへのアクセス集中にて苦労をされたようです。

昨今の情報社会に於いて、情報はヒトや企業、地域や社会を陥れる武器になります。容易な開示、受け渡し、転送などは十分に考え無ければなりません。同時に、誤解が誤解を生まぬよう、情報を読む力、使う力を身に着けなければ加害者・共犯者となります。

個人で気軽に公開しているブログやホームページ、つぶやきなど、うっかりと知人の写真や住所、メールアドレス、個人特定ができる情報を記載していませんか？また、メールの署名に個人情報を満載にしていると誤送信の際には大変なことになりますよ？

ママさんの育児サイトでご自信やお子さんの写真を掲載したり、場所が特定できる近所の写真を掲載している方がいます。家族を守る力を大切に。

エコに向けてのIT化

コメや牛肉のセシウム問題など、国内経済の低迷材料に頭を痛める今日この頃。風評だけではなく、事実の見える化と知る化が大切ですね。とは言え、安全基準の決定は難しいですが。

最近はエコに対する意識が高まり、あらゆる方面で「エコ」や「省エネ」の文字が飛び交っています。

ITが寄与するエコでは、クラウド化を挙げることができますね。小さなことからコツコツする点では、離席時に自動でパソコン画面が消灯されるモデルや省電力モデル、TV会議・Web会議による出張抑制からのCO2削減など、身近にできることから実践しましょう。

物流面では、競業同士の共同配送や生産拠点の見直しなどが加速しています。

今回の震災からニッポンが学んだものは多いようですね。

蘇る過去の過ち。。。

この3連休の初日、西日本から東日本までの広い範囲で大雪となりました。気象の変化に身体が順応しませんね。風邪など引きませんように。

さて、ここ最近の話題は、大相撲の八百長問題。八百長への関与を捜査する上で、力士たちの携帯電話を押収し、メールを復元することで裏付けを取っていますね。

では、どのように復元しているの？と言うよりも、携帯電話のメールはアプリケーション上で削除しても、インデックス（見出し・目次部分）が消去されただけなので、データそのものはメモリ上に残っています。しかし、別のデータで上書きされると解読は困難に。また、製造元や機種によってもデータの持ち方が異なるため、解読には時間を要します。

メモリチップを破棄、焼却すれば復旧は困難、いや、復元不可能となります。通信キャリアにログ情報が残っていれば、その記録を押収することも考えられるかも知れません。（覚醒剤事件で逃亡を図った女優さんの携帯電話も行方知れず。）

パソコン用としては、「データ消去ソフト」が市販されています。OS標準の消去（ファイルをゴミ箱に入れたり、ゴミ箱を空にしたり、ハードディスクをフォーマットしたり）ではデータは消去されません。「データ復元ソフト」を使えば復活することができます。そのため、消去には、データに対して別のデータを上書きする方式を採ります。

なお、データ消去ソフトもピンからキリまで。方式には米国国防総省に準拠するもの等、様々です。JEITA（電子情報技術産業協会）では利用者に対して、データ消去のガイドラインを公開しています。ご参考まで。

パソコン買い替えやリース返却の際には、情報漏洩に気を付けましょう。私の個人パソコンの場合は、ハードディスクを取り出し、千枚通しで串刺しにしています。。。外部メディアの破棄も忘れずに。この場合はシュレッダーが有力です。

まずは現状を知ることから

先日、中小企業情報セキュリティ対策促進事業「情報セキュリティ対策　中小企業向け指導者育成セミナー」に参加しました。

主催は、経済産業省とNPO 日本ネットワークセキュリティ協会、後援として、ITコーディネータ協会も名を連ねています。

本セミナーは、中小企業の経営者に対し、情報セキュリティに対する適切なアドバイスを行う地域の指導者育成を目的とします。

ビデオ演習によるリスクの発見、原因と対策の検討、これに加えインシデント発生時での対応をグループ毎に行う内容です。各々が異なる組織に所属または経営する方々と1日を有意義に過ごせました。勉強させて頂きました！

さて、未だに情報漏洩事故は後を絶ちません。中でも、大企業と中小企業（従業員300人未満）の情報セキュリティ対策には大きな差が生じているようです。情報投資や人材面など、対策に余裕が無いのも確かです。直接的には売上や利益の確保・拡大に寄与しないため、プライオリティが下がりがちです。しかし、信用の失墜から取引の停止や賠償責任など、企業の存続が危ぶまれるため、疎かにはできません。

情報を取り扱う上での三大要素（機密性の確保・完全性の確保・可用性の確保）を勘案し、対策を立て、日々見直し、改善する。やりっぱなしではなく、PDCAのサイクルを回すことが大切ですよね。

そのためには社内の監査体制に頼るだけではなく、第三者の目線も参考にし、「気付き」を求めることも大切です。ご要望があれば是非、お声掛け下さい。