情報セキュリティの話　その5　ベネッセ事件と外部デバイス

質問がありましたので、回答および追加情報を

「ベネッセの事件では、USBメモリではなくスマホが使われたようですが、対応は同じなのでしょうか？」

わかりやすく簡単な話として説明しましたので、専門用語を使っておりません。
今後もできるだけ専門用語を使わないで説明したいと思っております。
実際はUSBへの接続と言っても、様々なデバイスとして認証されます。
外部ドライブとして認証されるもの、フォトデバイスとして認証されるもの、プリンターとして認証されるもの。
それにUSBメモリだけではありません。パソコンに直接メモリにアクセスできるインターフェースを持ったものがあります。

この場合、デバイスを個別対応していると、すべてのデバイスに対してのインターフェース対策が必要となります。
現実問題として、通常のUSBメモリは禁止できるのに、スマホからは情報が取れてしまう。なんて事が起こってしまいます。

何故そんないろいろなデバイスが存在するのかというと、外部ファイルを読み込む時に同期して取り込む方が良い場合が存在したり（ファイルの破損を防ぐ目的）、アクセスの制限をパソコン側ではなく、デバイス側で掌握したい場合などが挙げられます。

こんなときは、対応されている製品を利用するしかないのですが、新たな方式に対応することは無理なわけです。
そこで、どのような方式であっても、外部デバイスがドライブとして認識される場合は、ドライブの制限で対応する、もしくは、ハード環境（デバイス認識）が変更されたら、その段階で制限する。

これらの対処方法が最も広範囲で対応できる制限認識方式となります。

様々なインターフェースに対して対応するという方法は、確実ですが、未知なインターフェースが存在した場合対応できません。OSはアップデートで更新されますし、何らかのデバイスをインストールすることにより、特殊なインターフェースが利用できる環境となってしまう可能性もあります。

ただ、セキュリティを生業にしている者としては、このような対処的な方法だけでは、結局だめなわけです。何が駄目なのか？

ベネッセの事件では、いろいろなUSBデバイスを犯人は試しているような情報があります。
どういうことでしょうか？
ここで重要なのは、試しても、お咎めなしな点です。これはきっと性善説に則ってのセキュリティが為ということがいえるでしょう。
USBデバイスを試すことを許してしまうセキュリティ方式では駄目ということになります。

一度でもUSBメモリを試したらそれで発覚する可能性があるのであれば、試せなくなります。
つまり、試す行為を阻止することができるわけです。

どのような強力なセキュリティシステムでもいろいろ調べれば、対策を考えることできるかもしれません。だから、調べさせないことが重要です。

私の関わった製品は、導入先によって、利用のプロトコルを変えております。
つまり、別ルートで同じセキュリティ製品を入手しても、調べることは、無駄ということになります。

何でそんな面倒な事を、というお客様もいらっしゃいますが、すべてはセキュリティのためです。

「できるだけ安全度の高い方法をお客様の手が掛からない方式で実現する」

これが私が目指すセキュリティ製品です。


今日はここまで、またいつかお会いしましょう！