最も身近で最も見過ごされる脅威
サイバーセキュリティというと、遠く離れた場所からの攻撃を想像しがちですが、実は最も深刻な脅威は、すぐ隣にいる人や、日常的に接している物理的な環境から生まれることが多いのです。統計によれば、企業の情報漏洩事件の約3分の1は、内部関係者が関与しています。
オフィスの同僚、取引先、清掃スタッフ、さらには家族や友人まで、信頼している人々が意図的に、あるいは不注意によってセキュリティリスクとなることがあります。また、パソコンやスマートフォン、USBメモリなどの物理的なデバイスも、適切に管理されなければ大きな脅威となります。この章では、こうした「内側」からの脅威について詳しく解説していきます。
信頼の裏切り：内部不正の深層心理と手口
内部不正（インサイダー脅威）は、組織内部の人間が、その立場や権限を悪用して行う不正行為です。外部からの攻撃と違い、正規のアクセス権限を持っているため、検知が困難で被害も大きくなりがちです。
内部不正を行う動機は様々です。金銭的な困窮、組織への不満や恨み、競合他社からの引き抜きや買収、思想的な理由、時には単なる好奇心や承認欲求が原因となることもあります。「給料が安い」「上司に認められない」「リストラされそう」といった不満が、重大な不正行為につながることがあるのです。
手口も巧妙化しています。例えば、退職前の従業員が、数か月かけて少しずつ顧客リストや技術情報をコピーし、個人のメールアドレスに送信する。システム管理者が、自分の権限を使って他の従業員のメールを盗み見る。経理担当者が、少額の不正を長期間繰り返し、総額で数千万円を横領する。これらはすべて実際に起きた事例です。
特に危険なのは、高い権限を持つ人物による不正です。システム管理者、データベース管理者、経営幹部などは、通常のユーザーよりも広範なアクセス権限を持っているため、不正を行った場合の被害は甚大です。また、これらの人物の行動を監視することは技術的にも政治的にも困難で、発覚が遅れることが多いのです。
協力者がいる場合はさらに深刻です。内部者と外部の攻撃者が結託すると、セキュリティ対策を簡単に回避できます。例えば、警備員が意図的にドアを開け放したり、IT担当者がファイアウォールに穴を開けたりすることで、外部からの侵入を容易にします。
オフィスの日常に潜む物理的脅威
物理的なセキュリティの脆弱性は、デジタルセキュリティと同じくらい重要でありながら、しばしば軽視されます。
覗き見／端末盗難／USBドロップは、最も基本的でありながら効果的な攻撃手法です。電車内でノートパソコンを開いて仕事をしていると、隣の人に画面を覗き見られる可能性があります。カフェでトイレに行く際にパソコンを置いたままにすれば、数分で盗まれたり、マルウェアをインストールされたりする危険があります。
USBドロップは特に巧妙な手法です。攻撃者は、マルウェアを仕込んだUSBメモリを駐車場や廊下にわざと落とします。好奇心から、あるいは「落とし物を届けよう」という善意から、それを拾った人が自分のパソコンに挿すと、マルウェアが起動します。人間の好奇心と親切心を悪用した、心理的にも巧妙な攻撃です。
なりすまし入室（テールゲーティング）は、正規の入館証を持つ人の後ろについて、セキュリティゲートを通過する手法です。「手がふさがっているから」とドアを押さえてもらったり、「入館証を忘れた」と言って一緒に入れてもらったりします。礼儀正しい人ほど、断りづらく、結果的にセキュリティホールとなってしまいます。
悪意あるUSB（BadUSB等）は、見た目は普通のUSBデバイスですが、接続すると自動的にキーボードとして認識され、高速でコマンドを入力してマルウェアをインストールします。充電ケーブルやマウスに偽装されていることもあり、見分けることは困難です。
Evil Maid攻撃は、ホテルの客室清掃員（メイド）になりすまして、宿泊客のノートパソコンに物理的にアクセスする攻撃から名付けられました。数分あれば、ハードディスクにマルウェアをインストールしたり、キーロガーを仕込んだりできます。出張中のビジネスパーソンが特に狙われやすい攻撃です。
不審デバイス持ち込みも深刻な脅威です。訪問者が持ち込んだ「プレゼン用のUSB」「共同作業用のハードディスク」などが、実はマルウェアを含んでいることがあります。また、充電目的でパソコンに接続されたスマートフォンから、データが盗まれることもあります。
人間関係が生むセキュリティホール：社会工学的リスク
職場の人間関係や社会的な関係性が、セキュリティリスクとなることもあります。
まず、過度の信頼が問題となります。「長年一緒に働いている同僚だから」「信頼できる取引先だから」という理由で、セキュリティルールを緩めてしまうことがあります。パスワードを教え合ったり、IDカードを貸し借りしたり、機密情報を気軽に共有したりすることで、意図せずセキュリティホールを作ってしまいます。
階層構造の悪用も見過ごせません。上司や役員を装って、部下に不正な指示を出すケースがあります。「社長の指示だ」「監査のため必要だ」と言われると、多くの従業員は疑問を持たずに従ってしまいます。特に、階層意識の強い組織では、このような攻撃が成功しやすくなります。
親密な関係性も脆弱性となることがあります。職場恋愛、不倫関係、金銭の貸し借りなど、個人的な関係が仕事に持ち込まれると、それが脅迫や強要の材料となることがあります。「秘密をばらされたくなければ、このデータをコピーしろ」といった脅迫が実際に行われています。
派遣社員や契約社員、アルバイトなどの非正規雇用者の管理も課題です。これらの人々は、正社員と同じようにシステムにアクセスできることが多い一方で、セキュリティ教育が不十分だったり、組織への帰属意識が低かったりすることがあります。雇用期間が短いため、不正を行っても発覚前に退職してしまうこともあります。
物理的セキュリティの盲点：見落とされがちな脆弱性
オフィスや施設の物理的なセキュリティには、多くの盲点が存在します。
まず、ゴミ箱が情報の宝庫となることがあります。シュレッダーにかけられていない書類、付箋に書かれたパスワード、会議資料のドラフト、顧客リストの一部など、ゴミ箱には多くの機密情報が捨てられています。「ダンプスターダイビング」と呼ばれる、ゴミ箱を漁って情報を収集する手法は、原始的ですが効果的です。
プリンターやコピー機も見過ごされがちなリスクです。最近の複合機には大容量のハードディスクが内蔵されており、印刷やコピーしたデータがすべて保存されています。リース期間が終わって返却したり、廃棄したりする際に、このデータを消去し忘れると、大量の機密情報が漏洩する可能性があります。
会議室のホワイトボードも要注意です。重要な会議の後、ホワイトボードに書かれた内容を消し忘れることがあります。戦略、パスワード、システム構成図など、機密情報が誰でも見られる状態で放置されることがあります。清掃員や次の会議の参加者に見られる可能性があります。
建物の構造上の問題もあります。薄い壁や天井裏の空間を通じて、隣の部屋の会話が聞こえることがあります。換気ダクトを通じて音が伝わることもあります。機密性の高い会議を行う場所は、物理的な遮音性も考慮する必要があります。
駐車場や喫煙所も情報漏洩の場となることがあります。これらの場所では、人々がリラックスして、つい仕事の話をしてしまうことがあります。「あのプロジェクトが...」「〇〇社との契約が...」といった会話が、意図しない相手に聞かれている可能性があります。
効果的な内部脅威対策：多面的アプローチの重要性
内部不正や物理的セキュリティリスクに対処するには、技術的対策だけでなく、組織文化や人事管理も含めた総合的なアプローチが必要です。
まず、採用時のバックグラウンドチェックを徹底しましょう。経歴詐称、犯罪歴、金銭トラブルなどがないか確認することで、リスクの高い人物を事前に排除できます。特に、高い権限を持つポジションや、機密情報にアクセスする職務では、より詳細なチェックが必要です。
職務分離の原則を導入しましょう。一人の人間が、取引の開始から完了まですべてを行えないようにすることで、不正のリスクを減らすことができます。例えば、発注する人と検収する人を分ける、データの入力者と承認者を分けるなどの対策が効果的です。
最小権限の原則も重要です。従業員には、業務遂行に必要最小限の権限のみを付与し、不要になったらすぐに削除します。「念のため」「将来必要かも」という理由で過剰な権限を与えることは避けるべきです。
行動監視とログ分析を実施しましょう。誰が、いつ、どのデータにアクセスしたか、どのような操作を行ったかを記録し、定期的に分析します。通常と異なるパターン（深夜のアクセス、大量のデータダウンロード、権限外のアクセス試行など）があれば、すぐに調査します。
物理的セキュリティの強化も欠かせません。入退室管理システムの導入、監視カメラの設置、クリーンデスクポリシー（退社時に机上に書類を残さない）の徹底、シュレッダーの適切な使用、USBポートの無効化など、基本的な対策を確実に実施します。
セキュリティ文化の醸成が最も重要かもしれません。セキュリティは「面倒なルール」ではなく、「組織と自分を守るための必要な行動」であることを全員が理解する必要があります。定期的な教育訓練、セキュリティ意識向上キャンペーン、インシデント事例の共有などを通じて、セキュリティ意識を高めていきます。
内部通報制度も整備しましょう。不正を発見した従業員が、安心して報告できる仕組みを作ることで、早期発見が可能になります。通報者の保護と、誤った通報に対する免責を明確にすることが重要です。
最後に、従業員の満足度向上も間接的ですが重要な対策です。適正な評価と報酬、働きやすい環境、キャリア開発の機会などを提供することで、内部不正の動機を減らすことができます。不満を持つ従業員は、セキュリティリスクとなる可能性が高いことを認識すべきです。
