データセキュリティ解説：課題と解決策

データは、規模や業種を問わず、あらゆる組織にとって最も価値のある資産です。財務レポート、事業計画、知的財産の喪失や破損は、たとえ世界規模の企業であっても業務を停止させかねません。さらに、多種多様なコンプライアンス規制により、組織は data security best practicesに従って情報を保護することが求められています。

この記事では、なぜデータセキュリティが今日の組織における最重要課題になっているのかを解説し、最も差し迫ったデータセキュリティの課題に対応できるソリューションを紹介します。

データセキュリティとは？

データセキュリティ、または情報セキュリティとは、電子形式と物理形式の両方でコンテンツを保護するために、さまざまな種類の管理策を用いることです。詳細なデータセキュリティの定義には、CIA triad：

• 機密性 — 組織は、機密データへの不正アクセスを防ぐ必要があります。セキュリティ対策には、アクセス制御リスト（ACL）、暗号化、強力な password policies、多要素認証（MFA）、構成管理、モニタリングとアラートが含まれます。
• 完全性 — データは、不適切な削除や改ざんから保護する必要があります。コンテンツの真正性を確認し、取引を安全に行うために、多くの組織ではデジタル署名を使用しています。
• 可用性 — 情報は必要なときに利用できる必要があります。たとえば、財務データベースは、会計担当者が支払い取引を処理するために利用可能でなければなりません。可用性には data resiliencyが含まれます。これは、サイバー攻撃、ハードウェア障害、またはその他の困難が発生した場合に、コンテンツを迅速に復旧できるようにすることを意味します。

データセキュリティが重要なのはなぜですか？

データのセキュリティを確保することは、以下を含む幅広い重要なビジネス目標にとって不可欠です：

• 業務の継続性を確保する — データセキュリティの保護により、データの機密性・完全性・可用性の喪失から生じ得る業務運用の中断を防ぐことができます。
• 財務リスクを低減する — データ侵害は、業務の中断にとどまらず、訴訟費用、コンプライアンス違反に対する罰金、そして顧客の信頼が損なわれることによる長期的な収益の減少など、深刻な財務上の影響をもたらす可能性があります。
• 法的およびコンプライアンス上の義務を満たすこと — GDPR のようなデータ保護規制に準拠できないと、CCPA を含めて多額の罰金や、長期にわたる風評被害につながる可能性があります。
• 知的財産（IP）の保護 — 強固なデータセキュリティは、組織が財務計画、設計、営業秘密などの貴重な情報を、誤った相手の手に渡ることから守るのに役立ちます。

どのデータを保護する必要がありますか？

企業規模の大小にかかわらず、組織は主に次の2種類のデータを保護する必要があります。

• 業務に不可欠なデータ は、会社を運営し継続するために必要なデータ資産で構成されます。例としては、財務計画、仕入れ先（サプライヤー）との契約、在庫、設計や営業秘密のような知的財産などがあります。
• 個人情報 には、従業員の人事・給与データ、顧客プロフィール、個人の医療情報、クレジットカードまたはデビットカードのデータが含まれます。

しかし、組織は、重要な知的財産が入っているかどうかに関係なく、すべてのファイルやフォルダーを守ろうとしてリソースを浪費するわけにはいきません。会社のピクニックの写真であっても同様です。むしろ、情報資産の重要度や機密性に応じて保護できる必要があります。

組織はどのようにデータを保護しますか？

組織は情報を守るために、さまざまな統制（コントロール）を採用する必要があります。一般的なデータ セキュリティ対策には、次のようなものがあります：

• 認証 — すべてのデータセキュリティシステムは、機密情報にアクセスする個人が、自分の主張する本人であることを確認する必要があります。パスワードは長い間認証に使用されてきましたが、組織では、生体認証などの追加の本人確認手段を要求することで、盗まれた認証情報を持つ攻撃者を阻止するために、多要素認証（MFA）を導入しています。
• アクセス制御 — 認証済みのユーザーは、自分の業務を行うために必要なデータとその他のITリソースにのみアクセスできるべきです。アクセス制御リスト（ACL）、ロールベースのアクセス制御（RBAC）と privileged access management（PAM）は、アクセス制御の例です。
• 暗号化 — 機密情報を暗号化することで、万一不正アクセスが発生してもデータを判読できなくなります。暗号化は、転送中のデータと保存中のデータの両方を保護できます。
• データ消去 — データが不要になったら、復元できないように削除するべきです。ハードウェアを退役させたり転用したりするときは、完全なデータ消去が特に重要です。
• データマスキング — データマスキングは特定のデータを隠すことで、データベースをテスト、分析、またはその他の目的に利用しても data privacyを損なわないようにします。 [SO1] [SO2]

なぜ組織はデータセキュリティに注力しているのでしょうか？

データセキュリティは、今日多くの組織にとって最優先の実行課題です。データセキュリティへの注目を後押ししている、最もよくある課題を紹介します。

データ侵害による高コスト

データ侵害、つまり data leakとは、重要なデータが権限のない閲覧者によってアクセスされたり、開示されたりした場合に発生するセキュリティ・イベントです。データ侵害は次のような理由で起こり得ます：

• 外部の脅威主体によるサイバー攻撃
• 従業員、請負業者、パートナーなど、内部ユーザーによるデータの盗難
• 保護情報を含むデバイスの盗難または紛失
• 不適切な受信者に機密データを誤って送信してしまうなどの人的ミス

Netwrix Attack Catalog で、認証情報の窃取やデータ侵害に用いられる敵対者の手口について詳しく学びましょう:

データ侵害は、復旧やフォレンジックのコスト、生産性の低下、売上の減少、訴訟費用、コンプライアンス違反に伴う罰金に加え、顧客の信頼と組織の評判に対する長期的なダメージなど、重大な財務上の影響を及ぼし得ます。

厳格なコンプライアンス規制と高額な罰則

コンプライアンス要件も、より強力なデータセキュリティへの関心を高めています。たとえば、EUの一般データ保護規則（GDPR）とカリフォルニア州消費者プライバシー法（CCPA）は、企業が個人を特定できる情報（PII）を収集・保存・利用する方法を定めており、一方で PCI DSS は支払いカードデータの保存と送信を規制しています。

コンプライアンス基準は実装が複雑であり、失敗すれば費用が高額になる可能性があります。 GDPR の罰金は、前の会計年度における企業の世界全体の年間売上高の4%または2,000万ユーロにまで達することがあります。さらに、当局は注意・勧告を出すだけでなく、規制対象データの処理を組織に禁止することさえあります。PCI DSS違反は、支払いカード取引の処理が禁止される結果につながる可能性があります。

コンプライアンス要件を満たすことは、成功するデータ セキュリティ戦略にとって必要ですが、コンプライアンス監査でチェック項目に印を付けるだけでは十分ではありません。規制は通常、データ セキュリティ問題の特定の側面（例：データ プライバシー）にのみ焦点を当てることが多く、現実のセキュリティ脅威は法律の整備よりも速いスピードで進化します。機密データの保護は、長期的で継続的な取り組みとして捉えるべきです。

IT の複雑性が増し、クラウド技術が急速に導入されている

近年、特にパンデミックにより組織が従業員に在宅勤務を可能にすることを迫られたこともあって、クラウド導入は急速に広がりました。しかしクラウド コンピューティングは、機密データが保存されているシステムに悪意のある侵入者を入れないことに重点を置いた従来のデータ保護戦略を覆しています。現在では、データは従来の境界の外にあるシステムに保存され、どこへでも自由に流通できてしまいます。つまり、組織には データ中心のセキュリティ という、最も機密性の高い情報を最優先する戦略が必要になります。

さらに言えば、IT 環境はますます複雑化しており、新しい技術や手法が絶えず登場しています。進歩は強化された機能をもたらす一方で、新たな脆弱性も生み出します。多様な IT エコシステム全体で最新動向に追随し、一貫したデータ セキュリティを確保することは、多くの組織にとって深刻な課題です。

限られたリソースと予算の制約

経験豊富なサイバーセキュリティ専門家への需要が急増しており、その結果、世界的なサイバーセキュリティ人材のスキル不足が生じています。多くの組織が、限られたリソースと予算の中でデータセキュリティ要件の各要素をバランスよく満たすことに苦慮しています。

ますます高度化する データセキュリティの脅威

組織は、サイバー脅威が急速に進化していることも理解しています。今日特に懸念されている主なものには、以下が含まれます：

• SQLインジェクション — 攻撃者は悪意のあるSQLコードを注入してWebアプリケーションの脆弱性を悪用し、データベース内のコンテンツにアクセスして操作します。
• ランサムウェア — 悪意のある攻撃者はマルウェアを使用して組織のファイルを暗号化し、復号鍵のための身代金を要求します（復号鍵を提供する場合もあれば、提供しない場合もあります）。最近では、一部のランサムウェアの攻撃者がデータのコピーを作成し、それを公開すると脅すことで、支払いを受け取れる可能性を高めようとしています。
• フィッシング — サイバー犯罪者は、欺瞞的な電子メール、SMS（テキストメッセージ）またはWebサイトを使って、個人に対し、ログイン情報などの機密データを開示させようとします。データセキュリティに注力することで、組織は従業員への教育を行い、フィッシングの脅威に対抗するための予防的な対策を実装・展開し、潜在的なデータ侵害から保護することを目指します。

強固なデータセキュリティ戦略を構築するためのフレームワーク

組織は、データ保護戦略をゼロから構築する必要はありません。代わりに、NIST Cybersecurity Framework（CSF）のような確立されたツールを活用できます。NIST CSF は 5 つの主要な機能で構成されています。

• Identify — データ、システム、人、そして能力に対するサイバーセキュリティ上のリスクを理解し、文書化します。
• Protect — サイバー脅威から最も重要な資産を守るために、適切なセキュリティ対策（コントロール）を実装します。
• 検知 — データセキュリティにリスクをもたらし得る行動やイベントを、素早く見つけられるようにします。
• 対応 — サイバーセキュリティインシデントに迅速に対応できるよう、テスト済みの手順を用意しましょう。
• 復旧 — セキュリティインシデントによって影響を受けたデータとサービスを、素早く復元できるようにします。

データ保護に役立つ技術にはどのようなものがありますか？

包括的なデータセキュリティ戦略には、次のような複数の保護対策が必要です。

• データの発見と分類 — データ発見技術はデータリポジトリをスキャンし、調査結果を報告することで、機密データを保護されていない場所に保存してしまい、侵害される可能性がより高くなる事態を回避できます。 データ分類 とは、タグを使って機密データにラベル付けを行い、その価値および適用される規制要件に従ってデータを保護できるようにするプロセスです。
• データの暗号化 — 重要な情報をエンコードすることで、悪意のある攻撃者にとって読めず、役に立たない状態にできます。ソフトウェアベースのデータ暗号化は、SSD に書き込まれる前にデジタルデータを保護するためのソフトウェアソリューションによって行われます。ハードウェアベースの暗号化では、ノートパソコンや USB ドライブなどの携帯可能なデバイス上で機密データを保護するために、暗号化と復号に専念する別個のプロセッサが用意されます。
• 動的データマスキング（DDM） — このデータセキュリティ技術は、機密データをリアルタイムでマスクし、未許可のアクセスなしで利用できるようにします。
• ユーザーおよびエンティティの行動分析（UEBA） — UEBA 技術は、脅威の可能性を示し得る通常の活動からの逸脱を検知するように設計されています。特に インサイダー脅威 とハッキングされたアカウントの検出に役立ちます。
• 変更管理と監査 — IT システムへの不適切な変更は、偶発的であっても悪意のあるものであっても、ダウンタイムや侵害につながる可能性があります。正式な変更管理手順を定め、実際の変更内容を監査することで、設定ミスを迅速に検出しやすくなります。
• アイデンティティおよびアクセス管理（IAM） — IAM は、通常のユーザーアカウントと特権ユーザーアカウントの両方を管理し、ユーザーによるデータおよびシステムへのアクセスを制御するのに役立ちます。
• バックアップと復旧 — ユーザーが今すぐ必要としている単一ファイルを誤って削除してしまった場合、サーバーが障害を起こした場合、あるいは自然災害や標的型攻撃によってネットワーク全体が停止してしまった場合でも、組織はデータと業務を迅速に復旧できる必要があります。包括的なデータのバックアップおよび復旧戦略では、失われたデータを取り戻す手順と、インシデント対応を管理する手順を明確に定め、データのレジリエンスを最大化することが重要です。
• データ損失防止（DLP） — データ損失防止 ソリューションは、ネットワーク、エンドポイント、クラウド環境全体における機密データの移動を監視し制御します。機密情報への不正なアクセス、使用、または転送を検出して防止することで、組織はデータ侵害に対して事前に備え、積極的に守ることができます。
• メールセキュリティのフィルタリングシステム — これらのツールは、フィッシングメールを含む望ましくなく危険なメッセージをふるいにかけるため、ユーザーがそれらを見ることがなく、結果として被害に遭うこともありません。

データセキュリティを強化するための手順

以下の手順を実施することで、データセキュリティを強化できます。

#1. データセキュリティのリスクを特定する。

まず、IT システムが機密性の高い情報や業務上重要な情報をどのように処理・保存し、またアクセスを許可しているかに関連するセキュリティリスクを分析し、測定することから始めてください。特に：

• リスク管理戦略を構築する — セキュリティリスクの特定、評価、軽減は、健全なデータセキュリティプログラムの重要な一部であり、多くのコンプライアンス規制でも求められています。リスク管理戦略をゼロから作成しようとするのではなく、例えば次に記載されたようなリスク評価フレームワークを土台にすることを検討してください。NIST SP 800-30。

• ディレクトリ内の失効（休眠）ユーザーアカウントを特定する — ハッカーが標的にするための非アクティブなアカウントを見つけるのは比較的簡単です。たとえば LinkedIn で素早く検索するだけでも、最近会社を離れた人が誰かが分かる場合があります。失効したアカウントを乗っ取ることは、侵入者がアラートを一切上げずにネットワークを静かに調べるうえで非常に有効な手段です。したがって、最近利用されていないユーザーアカウントを定期的に洗い出し、業務担当者と連携して削除できるかどうかを確認することが重要です。さらに、なぜ それらのアカウントがまだ有効だったのかを把握し、根本的なプロセスを修正してください。たとえば、従業員が退職したときや、外注先のプロジェクトが完了したときに IT チームへ通知が届くように、より適切な運用手順が必要になるかもしれません。
• 不要な管理者権限を見つけて削除する — 管理者レベルの権限を必要とするユーザーは非常に少なく、必要以上の権限を誰かに付与することは危険になり得ます。たとえば、自分のコンピューターに管理者アクセス権を持つユーザーが、意図的または意図せずにマルウェアをダウンロードして実行してしまうと、そのマルウェアがあなたのネットワーク上の多くのコンピューターに感染する可能性があります。

• 潜在的に有害なファイルがないか、環境を定期的にスキャンする — 未承認の実行ファイル、インストーラー、スクリプトを定期的に検査し、それらのファイルを削除しておく必要があります。そうすれば、誰かがうっかりランサムウェアやその他のマルウェアを実行してしまうのを防げます。
• ユーザーの教育 —すべてのユーザーに対する定期的なトレーニングの重要性は、いくら強調してもし過ぎることはありません。フィッシングメッセージを見分ける方法、報告する方法、そしてなぜ常に注意を払う必要があるのかを必ず教えてください。

#2. サーバーインベントリを実施します。

次に、すべてのサーバーについて、各サーバーの用途とそこに保存されているデータを一覧にします。特に、次の点を確認してください：

• OS（オペレーティングシステム）を確認します。 ベンダーがサポートを終了したOSを稼働させているサーバーがないことを確認してください。古いOSはセキュリティ修正プログラムが提供されないため、システムの脆弱性を悪用しようとするハッカーにとって魅力的な標的になります。
• アンチウイルスがインストールされ、最新の状態になっていることを確認します。 すべての種類のサイバー攻撃をアンチウイルスソフトでブロックできるわけではありませんが、非常に重要な最初の防衛ラインです。
• その他のプログラムやサービスを確認してください。 サーバーに不要なソフトウェアがあることは、単に容量を圧迫するだけではありません。これらのプログラムは、機密データを操作できるだけの権限を持っている可能性があるため、セキュリティ上のリスクになります。

この棚卸し（インベントリ）は、重要なセキュリティ上のギャップを特定して解消するのに役立ちます。これは一度きりの作業ではありません。定期的に実施する必要があります。

#3. 自社のデータを把握しましょう。

重要なデータを保護するには、そのデータがどこにあるのかを把握する必要があります。data discovery and classification technology を使って、クラウドとオンプレミスの両方にあるデータストアをスキャンし、種類と目的に基づいて機密または規制対象データにラベルを付けます。その後、データのセキュリティを強化し、規制への準拠を確実にするために、データセキュリティの取り組みに適切な優先順位を付けられます。

また、不適切な場所に機密データが現れたり、大人数に共有されたり、その他の形で過度に露出していないかを常に監視してください。データの喪失や外部への持ち出し（exfiltration）のリスクを下げるため、速やかに対処しましょう。

#4. 最小権限（least-privilege）モデルを構築し、維持します。

各ユーザーのアクセス権限を、業務を遂行するのに必要な範囲のみに制限することは重要です。これにより、従業員が故意または誤って引き起こし得る被害を抑えるだけでなく、ユーザーアカウントを乗っ取った攻撃者の権限（力）も制限できます。たとえば、営業担当者のアカウントが機密の財務文書やコード開発リポジトリにアクセスできないようにする必要があります。

管理者、ユーザー、役員、委託先（コントラクター）、パートナーなど、すべての人を必ず確認してください。検証（レビュー）は定期的なスケジュールで繰り返し、過剰な権限付与（overprovisioning）を防ぐためのプロセスを実装します。よくある見落としの1つは、組織内でユーザーの役割が変わったのに、もはや必要のない権限を取り除けていないことです。たとえば、アカウント管理の担当者がテクニカルサポートのエンジニアに異動した場合、その人は顧客情報が含まれる請求（billing）データベースにアクセスできなくするべきです。

#5. 不審な活動を常に把握します。

さらに、機密データを読み取り、変更、または削除しようとするすべての試みを含め、IT エコシステム内の活動を綿密に監査することも非常に重要です。特権ユーザーを含むユーザーが、どのデータに対して、どこで、いつ、どのようにアクセスしているのかを特定し、評価できる必要があります。特に、次を行うべきです：

• ユーザーの活動に急増（スパイク）がないか確認します。 突然の活動の爆発は不審な兆候であり、直ちに調査すべきです。たとえば、大量のファイルが急速に削除される場合、進行中のランサムウェア攻撃である可能性もあれば、組織を離れる予定の不満を抱えた従業員である可能性もあります。
• 営業時間外の活動を監視します。 ユーザーは、誰も見ていないと思い込んでいる通常の営業時間外に、悪意のある活動を保存したり行ったりすることがあります。

Netwrix のソリューションがどのように役立つか

Netwrix は データセキュリティソリューション を提供しており、組織がデータ侵害のリスクを大幅に低減し、セキュリティインシデントを迅速に検知・対応・復旧できるよう支援します。

• Netwrix Auditor 組織がセキュリティ脅威を検出し、コンプライアンスを確実にし、ITチームの効率を高めるのを支援します。集中型のプラットフォームにより、次を含む多くの主要システムに対する監査とレポートが可能になります。 Active Directory、Windows Server、Oracle Database、さらに ネットワークデバイス。脅威パターンに基づくリアルタイムアラートにより、悪意のあるインサイダーや侵害されたアカウントに迅速に対応できます。
• Netwrix Access Analyzer データ、ディレクトリ、システムを含む多数の重要な IT アセットの管理およびセキュリティにおいて直面する最も難しい質問に答えるために必要なデータの収集と分析を自動化します。Access Analyzer には、オペレーティング システムから Office 365 まで、本番環境（オンプレミス）およびクラウドベースの両方のプラットフォームを対象とする 40 以上の内蔵データ収集モジュールが含まれています。エージェントレスのアーキテクチャアプローチを採用し、当社独自の AnyData コレクタは、必要なデータだけを正確に収集するようにアプリケーションを設定できる、使いやすいウィザード駆動のインターフェイスを提供します。これにより、複数のデータソースから高速で、ミスなく、可能な限り軽量なデータ収集が実現されます。
• Netwrix Data Classification オンプレミスおよびクラウドのデータストア全体にまたがるコンテンツを識別し、複合語の処理や統計分析といった高度な技術によって、正確な分類を保証します。事前に定義された分類ルールにより、GDPR や HIPAA のような規制へのコンプライアンスが簡単になります。さらに、このソリューションは自動化されたリスク是正と、冗長なデータの検出も提供します。
• Netwrix Directory Manager Active Directory および Entra ID におけるユーザーとグループの管理を簡素化します。動的グループ メンバーシップ、ユーザーの自動プロビジョニング、ライフサイクルの適用といった機能により、手作業によるミスを減らし、ディレクトリを常に最新に保つことでセキュリティを強化します。
• Netwrix Password Reset ユーザーがいつでもどこでも安全にパスワードをリセット／変更し、自分でアカウントのロック解除を行えるようにします。さらに、パスワード変更通知、多要素認証（MFA）、および包括的な監査により、セキュリティを強化しながら時間を節約し、IT サービスデスクのコストも削減できます。
• Netwrix Privilege Secure サービスアカウントを含む特権アカウントの侵害または不正利用のリスクを大幅に低減します。お客様は、危険な管理者アカウントを、対象の作業に必要な分だけの権限を付与する「必要なタイミングで有効化する（just-in-time）」一時アカウントに置き換えることができます。さらに、このソリューションは実時間のセッション監視とビデオ録画も提供し、説明責任を確保するとともに調査を促進します。
• Netwrix Threat Manager リアルタイムのアラート、自動応答、ディセプション（欺瞞）ツールにより、脅威の検知と対応を迅速化します。さらに、他のセキュリティ技術との簡単な統合や、機械学習（ML）機能も備えています。

結論

データのセキュリティを向上させるには、データの特定と分類、ITリスクの理解と軽減、適切な対策（コントロール）の導入など、多面的なアプローチが必要です。

まずは NIST CSF のようなベストプラクティスのフレームワークから始め、次にコアとなるプロセスを自動化し、必要な情報を提供してくれるセキュリティソリューションを探してみましょう。データセキュリティは一度達成して終わりのものではなく、継続的な取り組みである点を忘れないでください。

よくある質問（FAQ）

データセキュリティとは何ですか？

データセキュリティとは、機密情報に関連するリスクを特定し、評価し、低減することです。

データセキュリティが重要なのはなぜですか？

データを不正なアクセス、使用、改変から保護することで、組織は業務の中断、財務上の損失、法的な問題、コンプライアンス違反による罰則、そして評判の毀損のリスクを低減できます。

データセキュリティに対処する方法にはどのようなものがありますか？

現在、機密情報を保護するには、ウイルス対策ソリューションやファイアウォールのような基本的なセキュリティ技術を導入するだけでは不十分です。最新の戦略には、identity and access management、データの発見と分類、変更管理、Zero Trust ポリシー、およびユーザーとエンティティの振る舞い分析が含まれます。

データセキュリティの主な要素は何ですか？

データセキュリティの中核となる3つの基本原則である「CIA triad」は、次のとおりです。

• 機密性 — データは許可されたユーザーのみがアクセスできます。
• 完全性 — データは正確で完全です。
• 可用性 — データは必要なときに利用できます。