脅威・脆弱性と内部不正

要点と定義

情報セキュリティでは、情報資産を脅威から守るため、弱点である脆弱性と、それが悪用される可能性を合わせて考えます。脅威が脆弱性を悪用して事故や損失につながるため、リスクは脅威の大きさだけでは決まりません。脅威がないと判断できる場合、その脆弱性への当面の対処の必要性は相対的に低くなります。ただし、脅威の有無や管理策を見直せば、優先度も変わり得ます。

人の心理や信頼、行動上の隙を利用して情報を得る手法をソーシャルエンジニアリングといいます。緊急事態を装って情報を聞き出すことや、従業員を装って廃棄書類を集めることが例です。機器やソフトウェアへの技術的な攻撃と、情報を得る手段を区別して考えます。

不正のトライアングルは「機会」「動機」「正当化」の三要素で不正を捉えます。機会は不正を可能または容易にする状況、動機はプレッシャなど、不正に向かう理由や必要性、正当化は行為を自分に納得させる理由付けです。

割れ窓理論は、軽微な乱れや不正を放置すると規範意識が弱まり、より重大な不正や犯罪を招きやすくなるという考え方です。不正のトライアングルとは、説明する仕組みが異なります。

JVNは、ソフトウェアなどの脆弱性情報や対策情報を提供する情報源です。脆弱性を把握し、対策を検討する際に役立ちます。

BYODは、従業員が個人所有の端末を業務に利用する形態です。組織の管理が行き届かず設定や更新が不十分な場合、ウイルス感染などのリスクが高まることがあります。

適用条件と例

例えば、経費精算に強いノルマがあり、同じ担当者が申請から承認まで行え、本人が「会社のためだから問題ない」と考えているとします。ノルマは動機、承認を一人で完結できる状態は機会、その考え方は正当化に当たります。相互確認や記録の保全は機会を減らす対策です。三要素は不正を起こしやすい条件を捉える枠組みであり、要素を見つけたことだけで不正の発生を断定するものではありません。

脆弱性情報を見つけたときは、対象のシステムが実際に使われているか、脅威がその弱点を悪用できるか、対策が適用可能かを確かめます。脅威がないと判断できる状況では優先度を下げられる場合がありますが、状況が変われば再評価が必要です。