台湾企業「互動資通」が公表した【台湾企業1000社のSNS調査】で、企業内で一番よく使われるソフトウェアはLINEとSkypeであり、比率は6割を占めています。しかし情報セキュリティシステムが提供しているインスタントメッセンジャー監視機能だと、オーナーやシステム管理者が自由にチャットログを閲覧できるので、故意や不注意によらず社員のプライバシーが侵害される可能性があります。また、インスタントメッセンジャーの監視記録自体が合法かどうかもクリアしなければ行けません。例えば仕事用と私用アカウントを分ける、業務デバイスをプライベート使用できないようにするなど事前にルールを決めてから監視記録する必要があります。インスタントメッセンジャーの性質上、全く無関連な第三者を巻き込む可能性もあるので、通常の端末記録より物議を醸す場合が多く、違法行為とさえなりかねません。
プライバシーの記録問題
インスタントメッセンジャーログの問題は個人のチャット内容、家族間のプライベートな話、第三者のプライバシーなどに関わります。社員のプライバシーが訳もなく不当に漏洩された場合、当事者が不必要なダメージを受けるだけでなく会社によるプライバシー侵害になり、事件として扱われる可能性もあります。そのため、記録の閲覧には細心な注意を払い合法な閲覧権限を確保する必要があります。適切な範囲で調査することで、道徳的・法的に違反しないように気を付けなければいけません。
TSFのロールによる権限仕分け設定機能
システム管理者でロールを設定して、システム管理者ロールのアカウントの他に、部長、監査メンバー(企業法務)なども設定できて細かくカスタマイズもできるので、各メンバーには作業の必要に応じて必要な管理範囲内で適切な権限を付与できます。
ロール權限のパターン例
- システム管理者
TSFシステムにおける最大の権限を持つ管理者。他の管理者にロールと権限を付与して、管理範囲を規定する。
- システム監査メンバー
ログと権限を閲覧できるが、ログと設定の変更ができない。他ロールアカウントでインスタントメッセンジャー、メールなどのログを閲覧するときは監査メンバーの承認が必要になる。
- グループ管理者(部長)
管理範囲内のログとポリシーを閲覧できる。また管理範囲内メンバーの一時使用申請を承認できる。
- 機能管理者
機能モジュールごとに指定した項目を管理できる。例えば棚卸しメンバーはハードウェア資産モジュールにのみアクセスでき、他セキュリティポリシーの管理にはアクセスできない。
- カスタマイズしたロールアカウント
自由に管理範囲、ログタイプ、組織メンバーを設定できる。
- 特定ユーザ
情報セキュリティ部長、プロジェクトメンバー、事件調査員など、会社が指定した職権により、セキュリティシステムの権限を付与して、操作・閲覧することができる。
異なるログを指定したロールのみ閲覧できるようにもできます。通常時はセキュリティ管理者やCISOが通常ファイル出力ログやファイル転送ログ、印刷枚数などをチェックしますが、情報漏洩事件が発生したときは権限を付与された指定メンバーが監督下でログをチェックします。しかしインスタントメッセンジャーログはさらに調査委員会など合法的な権限を申請して許諾を受ける必要があります。
ツールとルールの相互補助
社内で情報漏洩の疑いがある事件が発生したとき、対応するプロセスとしてはまず関連する各部署の上長、法務、監査を招集して、調査委員会を設立することを推奨します。調査委員会で内部調査を実施し、関連メンバーで決議を取って、調査メンバーに権限を付与して調査を行います。
調査内容
- 調査対象の範囲を指定：なるべく限定して、部署／メンバーへの干渉を最小に抑える。
- 調査する記録のタイプ：各タイプのプライバシー情報関与程度が異なり、事件に関連しない情報は基本閲覧しない。
- 記録やシステムへの操作：調査メンバーの記録操作を限定する。例えば別途保存、エクスポートを禁止して、記録の削除、破損を防ぐ。
調査委員会の正式決議による許諾を受けて、指定の調査メンバーと部署上長と一緒に許諾範囲内の端末操作ログを調査します。インスタントメッセンジャーソフトウェアのログ、メール送受信ログを調べる必要がある場合は、まず許諾範囲内かを確認した上で、監査メンバー、法務とともに調査します。以上のように考慮すべき状況は少なくないので、情報セキュリティシステム導入時はロールとアカウント権限の仕分けも評価のポイントに入れる必要があります。それを行わないと、どんなに完璧な調査SOPを持ってしても、ログの不足、調査メンバーやシステム管理者の権限振り分け不当により、プライベートでの情報共有が行われ、適切な調査ができない恐れがあります。
記録の閲覧は会社の認可が必要
関連端末の記録を閲覧するとき、一番重要なのは調査委員会の許可を得ることです。特にプライバシーを侵害する恐れのある記録は細心の注意を払う必要があります。会社が同意し、指定メンバーに必要な記録を閲覧する権限を付与した上で、閲覧した内容を漏らさないようにしなければ行けません。これは法を違反しないための措置だけでなく、システム管理者、部署の上長が正当な理由なく記録を閲覧することでプライバシーが侵害される可能性をも排除する重要な手続きです。