|
[ 133] Winnyによる情報漏えいを防止するために
[引用サイト] http://www.ipa.go.jp/security/topics/20060310_winny.html
IPAトップ>セキュリティセンター>Winnyによる情報漏えいを防止するために
官公庁や大企業の取り扱う個人情報や機密情報等が職員等の私有または私用パソコン(以下「私有パソコン」という。)から漏えいする事件が、毎日のようにニュースに取り上げられています。
報道によると、漏えいした情報の種類こそ違いますが、ほとんどの事件に共通している点は、職員がファイル交換ソフト(注1) Winnyを導入（インストール）した私有パソコンに、官公庁や企業等で取り扱う個人情報や機密情報等をコピーし、使用していたところ、ウイルス（W32/Antinny）に感染し、情報漏えいしたという点です。
(注1)インターネットを利用して、不特定多数のユーザ間でファイルを交換できるソフトウェア。
ウイルス（W32/Antinny）に感染すると、パソコン内の送受信メールやWordやExcel等のデータファイルが、パソコン内の公開フォルダにコピーされてしまいます。公開フォルダにコピーされたファイルは、世界中のWinny利用者が入手できる状態になったということです。
図1.1に示すように、インターネット（Winnyのネットワーク）に流出したデータは、不特定多数のWinny利用者が保有することになり、回収することは不可能です。
なお、中小企業や個人事業者、一般の個人ユーザの情報漏えいがニュースに取り上げられないのは、漏えいした情報がどこからのものか特定できない、重要ではないと考えられたなどニュース性が低いため報道機関が取り上げなかっただけと考えられ、
情報漏えい問題は、他人事と考えずに、自分に当てはめて考えていただくことが重要です。
◆ 予算の関係でパソコンの割り当てが不足していて、私有パソコンを使っていた。
Winnyからの情報漏えいを防ぐには、次のような対策が考えられ、それらを組み合わせて実施することが有効と考えられます。
(2) 職場のパソコンに許可無くソフトウェアを導入しない、または、できないようにする。
(4) 職場のネットワークに、私有パソコンを接続しない、または、できないようにする。
(6) 職場のパソコンからUSBメモリやCD等の媒体に情報をコピーしない、またはできないようにする。
(7) 漏えいして困る情報を許可無くメールで送らない、または、送れないようにする。
(8) ウイルス対策ソフトを導入し、最新のウイルス定義ファイルで常に監視する。
パソコンの管理者や利用者が自ら実施できる対策もあれば、上司が行うべき対策もあります。また、職場のルールを変えたり、ネットワークシステムや設備の変更を伴う対策もあります。
どの対策を組み合わせるかは、簡単なもの、効果がありそうなものというような単純な選択ではなく、取り扱う情報と漏えい時の影響、導入コスト等を考慮し総合的に検討することが重要です。
官公庁や企業等においては、個人情報や機密情報等の情報漏えいを防ぐためにどのような対策を行うべきか、
管理的対策と技術的対策について具体的にまとめてみます。 次にあげる対策のポイントを参照し、あらためて情報の扱いについて確認し、トラブルの発生を未然に防ぐよう対処してください。
組織(委託先を含む)で業務に用いるパソコンについては、ファイル交換ソフトの使用条件を定めておくことが重要です。
パソコン内の情報が漏えいする危険性を考慮すると、個人情報や機密情報等が保存されているパソコンではファイル交換ソフトの使用は控えるべきです。
業務に必要ということでファイル交換ソフトを使用しているパソコンはないか？
ファイル交換ソフトの使用を許可したパソコンに許可した範囲以外のファイルが保存されていないか？
使用が許可される場合であっても、個人情報や機密情報等が保存されているパソコンへインストールするべきではありません。
ウイルス感染や誤操作により、公開用フォルダ以外の場所に格納されている個人情報や機密情報等が外部に流出してしまう危険性があります。
定められた使用方法、使用条件に適合しているか、常に管理する必要があります。
私有パソコンは、組織として管理することが難しく、業務で使用することは望ましいとは言えません。更に、私有パソコンで個人情報や機密情報等を取り扱わせることは、きわめて危険で避けるべきです。しかし、やむをえず私有パソコンを業務に使用する場合は、管理について定めておくことが重要です。
私有パソコンを職場に持ち込んで使用したり、職場のネットワークに接続することについてのルールを定めているか？
その私有パソコンに許可された利用範囲を、管理者が確認できるようにすべきです。
私有パソコンの許可は自動延長ではなく、定期的に再審査すべきです。
個人情報や機密情報等を取り扱う私有パソコンを職場から持ち出すことは、パソコン内の情報が漏えいする危険性が高く、許可するべきではありません。
相応の理由で持ち出す場合は、個人情報や機密情報等が内在していないかをチェックし、職場外での利用形態や窃盗や紛失でも情報漏えい対策（暗号化等）が
個人情報や機密情報等を含む業務情報を記録媒体などにコピーして外部に持ち出すことは、外部のパソコンからの情報漏えいや記録媒体の紛失などのリスクがあり、厳に避けるべきです。
しかし、やむをえず持ち出す場合には、次のような厳重な管理をすることが重要です。
個人情報や機密情報等を含む業務情報を記録媒体などにコピーして外部に持ち出すことについてルールはあるか？
また、形式的な手続きで、不要な持ち出しが許可されないよう注意する必要があります。ルールの運用にあたっては、職場外で作業するために持ち出すことを十分確認してください。
記憶媒体などにコピーされた業務情報の中に、許可された情報以外の情報が含まれていないか確認することも重要です。
簡単に情報を確認できるように、ファイル名のつけ方のルールや、ファイル名等から検索できるデータベースの整備が有効です。
記憶媒体などにコピーされて外部に持ち出された個人情報や機密情報等を管理できるか？
外部に持ち出した記憶媒体を取り扱う外部のパソコンがウイルス等に感染していて情報漏えいすることがないようにすることが重要です。
このため、外部のパソコンを利用して当該業務情報を取り扱った後、外部のパソコン等に当該業務情報が残らないようにする手順を定める必要があります。
実際の事件において、 数年前に個人情報や機密情報等を取り扱った私有パソコンの該当ファイルは削除したはずと思いこんでいたパソコンにWinnyをインストールしたことにより、削除したはずのファイルが漏えいするという事例がありました。
サーバーを介さずに P2P(注2)により外部と接続することが可能なクライアントパソコンは、サーバーの段階でウイルスチェックがされていても、クライアントパソコンにウイルス対策ソフトを導入していなければ感染被害に遭ってしまいます。
新種や亜種のウイルスに対応するために、ウイルス対策ソフトのパターンファイルの更新を定期的行うことが肝要です。
to Peer) 不特定多数の個人間で、サーバーを介さずに、直接データのやり取りを行うインターネットの利用形態。
ニュースに取り上げられているWinny経由での情報漏えい事件のほとんどは、私有のパソコンを業務に使うことにより被害が起きていることから、職員に対するウイルス対策の重要性の教育を繰り返し行うことが重要です。
自分は大丈夫だ、自分には関係ないということは間違いであることの意識改革をさせる
ニュースに取り上げられている事件の関係者の多くが、自分は大丈夫だとの意識でした。
自分が扱っている個人情報や機密情報等が漏えいした場合や、ルールがあってもそれを守らない人がいれば、大きな被害をもたらすことを認識させることが大切です。
ウイルス対策製品やサービスを使用したり利用していても、必ずしもすべてのウイルスを防ぐことはできません。
以下の技術的対策は、オペレーティングシステム(OS)の機能として提供されるものと、ツールを導入して運用するものがあります。
WindowsXP/2000/NT等のNTFS(New Technology File System)というファイル管理システムがあります。これを使ってハードディスクのファイルを管理している場合、特定のファイルやフォルダに対して、ログインアカウント毎に、アクセス権限を設定することができます。
MS-Word や EXCEL のようなアプリケーションプログラムにおいても、「ファイル」->「アクセス許可」メニューから当該ファイルのアクセス権を設定することが可能です。
市販またはフリーソフトウェアにも、独自の方式により、アクセス制限を設定できるものがあります。
市販またはフリーソフトウェアにより、コピー制限を設定できるものがあります。
WindowsXP/2000/NT等のNTFSというファイル管理システムを使ってハードディスクのファイルを管理している場合、まず特定のフォルダを暗号化フォルダと指定します。その暗号フォルダに他のファイルを移動すると、移動したファイルが暗号化され、移動を行った本人だけが開くことができるようになります。
MS-Word や EXCEL のようなアプリケーションプログラムにおいては、「ツール」->「オプション」メニューの「セキュリティ」タグから、当該ファイルのパスワードを設定することが可能で、保存したファイルは自動的に暗号化されます。
市販またはフリーソフトウェアにより、外部記録媒体へのアクセス制限を設定できるものがあります。
ネットワーク管理ソフトにより、未登録のパソコンを企業内ネットワークに接続させない制限を設定できるものがあります。
市販またはフリーソフトウェアのウイルス対策製品を利用し、パソコン内にウイルスがあるかスキャンします。
また、いくつかのセキュリティベンダーは、ウイルススキャンを無料で行えるオンラインサービスを提供しています。
マイクロソフト社の「悪意のあるソフトウェアの削除ツール」を使い、ウイルスの検索と駆除を行うことができます。
UP 」フォルダになんらかのファイルが保存されていて、それが自分の指定したファイルでなければ、漏えいしている危険性が高いです。また、
UP フォルダになくても、 Winnyが保存されているフォルダにある「 UpFolder.txt 」というファイルに他のフォルダが公開用として指定されてしまっている可能性もあります。当該ファイルを開いて、記載内容を確認し、
UP フォルダ以外に指定されているフォルダがないか確認してください。
自社の情報がWinnyネットワークに流出していないかを確認するには、Winnyを利用してやり取りされているファイルをダウンロードして確かめるしか方法はありません。各種報道を見ていると、他者から指摘されて気付くケースがほとんどです。Winnyネットワークで流れているデータを検索してくれるサービスもあるようです。このようなサービスを利用して、自社の情報がないか確認する方法もあります。
Winny そのものを検出するツールが無償で提供されています。いずれかのツールを使用し、 Winny として検出されたファイルをすべて削除してください。また、検出されたファイルが
Winny.exe と同じフォルダ内に設定ファイルが作られますので、これらのファイルも削除するためです。
等で、複数のユーザーで１台のPCを使用している場合、各ユーザーアカウント毎に同様の検出、削除の処置を行って下さい。
なお、上記サイトおよびそのリンク先内容の利用によって生じたトラブル・損失・損害には、当機構では一切責任を負いかねます。あくまでも自己責任の下、自己判断でご利用ください。
シマンテック社 - Winny検索ツールの表示は英語ですが、その点はご容赦願います。
以後の調査のために、漏えいしたファイルをCDやDVD等の記憶媒体にコピーする
官公庁や企業等組織の情報ファイルである場合は、当該組織に速やかに報告する
ウイルス対策ソフトでスキャンし、感染した原因を特定する(Antinny亜種の特定)
ウイルスを駆除する、または、パソコンをリカバリする（初期状態へ戻す）
職場の個人情報や機密情報等を自宅のパソコンにコピーしなければ情報漏えいしないということではありません。
家族や友人の個人情報が漏えいする可能性は同じです。Winnyを導入したパソコンには、情報漏えいのリスクがあり、ウイルス対策が必要です。
Winnyを使っていなければ情報漏えいしないということではありません。例えば、2006年2月下旬に発見された通称「山田オルタナティブウイルス」は、Webサーバ機能を内蔵しており、感染したパソコンの内容をWebサイトという形式でインターネットから参照できるようにした後、そのパソコンへのリンクを掲示板サイト「2ちゃんねる」に貼り付けることで情報漏えいを行います。
このように、Winny に感染するウイルス（W32/Antinny）以外にも情報漏えいするウイルスが出現していますので、ウイルス対策を行うことが情報漏えいを防止するために大変重要です。
なお、上記以外の時間においても、電話の自動応答システムによる
FAX 送信サービスにより、予防・対処方法について情報提供をいたします。
�掘ザ饌療�な対策・その2：対処方法 3.Winnyがインストールされているかを確認する方法 のタイトル、内容を更新
�掘ザ饌療�な対策・その2：対処方法 3.Winnyがインストールされているかを確認する方法 の内容を更新
|
