多くの企業は、外部からの絶え間ないサイバー脅威からビジネスやその資産を守るために、多くのリソースを投入し、細心の注意を払っています。しかし、その際に、最大のデータ侵害の根本原因として知られる、ある 1 つの重要な脅威の深刻さを見落としたり、過小評価したりすることがあります。その脅威とは、内部関係者です。
データ損失や不正アクセスに関与するすべての内部関係者が、欲に駆られたり、妨害工作者として大損害を与えたいという悪意を持っているわけではありません。彼らのほとんどは普通の従業員で、単にデータセキュリティ上のミスを犯してしまっただけなのです。しかし、それが原因で組織に経済的損害や評判ダメージを与えることになります。例えば、機密情報の入ったファイルを間違った相手に送信してしまうことや、巧妙なフィッシング詐欺に騙され、アカウントの認証情報を攻撃者に渡してしまうことなどが挙げられます。
企業のデータ損失リスクを引き起こすのは、悪意のある従業員、怠慢な従業員、不正アクセスを受けた従業員だけではありません。機密データや重要なシステムに合法的にアクセスできる外部契約者、サードパーティベンダー、サプライチェーン パートナーも潜在的な脅威となる可能性があります。これらの関係者は、クラウドサーバーやストレージバケットの設定ミスのような「オペレーターエラー」に関与することもあります。その結果、企業の顧客や従業員の個人識別情報 (PII) を含む何百万もの機密ファイルが流出してしまいます。
昨年から今年にかけて見られた最大規模のデータ侵害には、人が関わっています。また、プルーフポイントでは、新しいレポート「The Data Breach Is Coming from Inside the House (内部から発生するデータ侵害)」で、2021 年と 2020 年に起きた最近のデータ侵害を調査しています。これらは、情報漏えい対策 (DLP) と内部関係者のリスクに対する人を中心としたアプローチをとっていれば、おそらく防ぐことができたはずです。
最近発生した 5 件のデータ侵害インシデントの検証
「デジタルが牽引するビジネスでは、特に内部脅威リスクに焦点を当てる必要があります。」これは、プルーフポイントの新しいレポートにまとめられている推奨事項の 1 つです。また、このレポートでは、今日の分散したクラウドファーストの職場環境で十分な可視性が得られないことが、IT 部門の内部脅威を管理し、人に起因するデータ損失を防止する作業に混乱をもたらしていることを説明しています。
このレポートでは、2020 年と 2021 年に報告された 5 件の注目すべきデータ漏えいを中心に紹介しており、その中には記録に残っている中でも最大規模のデータ侵害が含まれています。次のような事件が実際に発生しています。
- 旅行予約プラットフォームのプロバイダーで、1,000 万件の記録が流出、紛失、漏えい、窃取されるインシデント。これには、ホテル宿泊者の氏名、メールアドレス、国民識別番号、クレジットカード情報などが含まれたファイルが含まれていました。侵害の原因は何だと思いますか？従業員によるクラウドストレージの設定ミスです。
- Web で最大のテクノロジーおよびエンターテインメントの Web サイトの 1 つに属している内部データのうち、5 ギガバイトが無許可でオンラインに投稿されました。この Web サイトはニュースソースとして信頼されていました。このインシデントにより、スタッフ、ユーザー、サブスクライバーの個人識別情報を含む 140 万件の記録が流出しました。この流出の原因は、OAuth アクセスの不正使用でした。
- フランスで最も古い日刊新聞の大規模データ漏えい事故では、記者、スタッフ、購読者に関する 74 億件分の記録が流出。このデータ損失事件の原因は何でしょうか？ベンダーが運用しているクラウドサーバーに設定ミスがあり、しかもセキュリティ対策が施されていなかったことです。
このレポートで分析されている各データ侵害の事例に続いて、同様のインシデントがお客様のビジネスに影響を及ぼさないようにするためのプルーフポイントの推奨事項が紹介されています。具体的には、Proofpoint CASB (CloudAccess Security Broker)ソリューションを使用してクラウド アプリケーションを保護すること、データベースを適切に設定すること、Proofpoint ITM (Insider Threat Management) ソリューションを使用して内部関係者による脅威を検知・対応すること、潜在的なセキュリティリスクについてユーザーを教育してインシデントの発生前にデータ損失を防ぐことなどが挙げられます。
最近のデータ漏えいについて、そしてどうすればそれらを回避できたのかを紹介します。
2021 年と 2020 年に報告された最大のデータ侵害については、プルーフポイントの Web サイトから無料の「内部脅威 10大インシデント（2020-2021年）」をダウンロードして、詳細をご確認ください。
※本ブログの情報は、英語による原文「Lessons Learned from Some of the Latest and Biggest Data Breaches Involving Insiders」の翻訳です。英語原文との間で内容の齟齬がある場合には、英語原文が優先します。