DLPの活用方法:内部不正対策編

前回の記事ではDLPの歴史や必要とされる背景について解説しました。次は具体的にDLPをどのように業務に活かすのか?について考えていきましょう。

データの中身を見て様々な処理を行うDLPは様々な用途に応用が可能ですが、内部不正対策と外部脅威対策ではDLPの設計、運用の観点が異なります。今回は内部不正対策という観点からどのようにDLPが活用出来るのか?を考えてみましょう。

内部不正対策におけるDLPの活用

DLPの利用用途として良く例に挙げられるのが内部不正対策です。社内で機密とされている文書を「社員」が社外に流出させるのを防ぐという、わかりやすい利用方法です。

しかし、失敗に陥りやすいのもこのユースケースです。

正規のIDを持つ社員による情報漏えいには、明確に悪意を持って犯罪行為を行うケースと、悪意の無い社員によるうっかりミスがありますが、本記事で対象とするのは明確に悪意を持って犯罪行為を行うケースを想定しています。

失敗に陥りやすいケース

DLPを内部不正対策に応用しようとした場合に失敗するプロジェクトに見られる幾つかの特徴を紹介します。

1. DLPに対する過剰な期待=100%の精度を期待する
   まず挙げられるのが、DLPに対する過剰な期待です。100%の精度で検出/ブロック出来ないのであれば、抜け漏れが発生するので、抜け道が出来てしまうのなら導入しても意味が無いという考え方です。
   残念ながら100%の精度を誇るDLPサービスは存在しません。特定のシナリオに基づいた限られた状況では100%になるかもしれませんが、実際の運用においてはその精度は低下することが想定されます。

2. 犯罪者心理の考慮漏れ=キーワードで検出出来ると誤解する
   DLPを設計する際に「内部不正を検出する効果的なキーワードは?」等と聞かれることがありますが、残念ながら内部不正をキーワード検出で抽出するのは非常に難しいという欠点があります。
   そもそも、犯罪行為だとわかったうえで不正を働こうとする人は「犯罪が発覚する」「犯罪の証拠を残す」ことを嫌がります。
   そのため「架空取引」というキーワードを含む文書の検出ルールをDLPで作成しても本当に架空取引を行おうと考えている人が、わざわざメールで「架空取引をしたい」等と書く筈がなく、架空取引を行うメンバー間で予め決めた「隠語」を用いて不正を働くので、一般的なキーワードー設定を行っても誤検知だけが増加することになります。

なぜ、人は不正を行うのか?

内部不正対策に取り組むために、まず「なぜ不正を起こしてしまうのか?」という犯罪行為を行う人について学んでみましょう。

組織で雇用された社会的地位のある人物による犯罪についての研究は古くから行われており、1939年に社会学者エドウィン・サザーランドによって「ホワイトカラー犯罪」と名付けられ「尊敬され、高い社会的地位にある人が職務の過程で犯す犯罪」と定義されました。^[1]

その後、犯罪学者のドナルド・クレッシーが1953年に「Other people's money; a study of the social psychology of embezzlement.」を出版し、現在における内部不正の研究に大きな影響を与えることになりました。本書は金融機関における横領が何故発生するのかについて研究されており、本来金融機関で働くような社会的にも信頼されている人物がなぜ横領を行うに至るのか?について、以下のように記載されています。

Trusted persons become trust violators when they conceive of themselves as having a financial problem which is non-shareable, are aware that this problem can be secretly resolved by violation of the position of financial trust, and are able to apply to their own conduct in that situation verbalizations which enable them to adjust their conceptions of themselves as trusted persons with their conceptions of themselves as users of the entrusted funds or property.

信頼された者が背任者となるのは、他人に打ち明けることの出来ない金銭的トラブルを抱えていると自覚し、そのトラブルが金銭を預けられたという信頼関係を裏切ることによって密かに解決されることに気づき、その状況における自らの行為に、信頼された者としての自己の概念を、委託された資金や財産の使用者であるという概念へとすり替えることが理論化できる場合である。
引用:Donald Cressey"Other people's money; a study of the social psychology of embezzlement."^[2]

クレッシーは、横領が発生する条件として「1) 他人に打ち明けることの出来ない金銭的トラブルを抱えている」 、「2) 信頼を裏切ることを可能にする機会がある」、「3) 金銭の管理者から、金銭の使用者へとすり替える犯罪行為の正当化」、これら三要素が揃った時に、信頼されていた人物が横領犯に変貌するとしました。

その後、1991年にアメリカ会計学会会長/公認不正検査士協会の会長を勤めたスティーブ・アルブレヒトが著作"Fraud in Government Entities"の中でクレッシーの研究を基にした「不正のトライアングル」という言葉を使いました。

These three factors combine to create the "fraud triangle." The fraud triangle is very much like the "fire triangle." In order to have a fire, three conditions must exist: there must be oxygen, heat and fuel. If any one of these is removed, there will be no fire. Likewise with fraud: if either the pressure, opportunity or rationalization is removed, fraud does not occur.
これら3つの要因が組み合わさって、「不正のトライアングル 」が形成される。不正のトライアングルは 「火のトライアングル 」によく似ている。火を起こすには、酸素、熱、燃料の3つの条件が揃っていなければならない。酸素、熱、燃料である。このうち一つでも欠ければ、火は発生しない。不正行為も同様で、プレッシャー、機会、正当化のいずれかが取り除かれれば、不正行為は起こらない。
引用:W. Steve Albrecht "Fraud in Government Entities: The Perpetrators and the Types of Fraud"^[3]

アルブレヒトは「不正が発生する条件」を「火の発生」と捉え、火を起こすには、酸素、熱、燃料の3つの条件が必要でありどれか一つ欠けても火を起こすことは出来ないとし、「不正」についても「1) 不正を行う動機（犯罪を行わざるを得ないというプレッシャー）」、「2) 不正を行う機会」、そして「3) 不正を行うことに対する合理的理由（不正行為を正当化する理由）」の三要件が必要であり、これらが揃えば不正が発生するリスクが高まり、一方でどれか一つでも欠ければ不正は発生しないと述べています。

この「不正のトライアングル」は、クレッシーの研究から約70年が経過した現代でも様々な教育やガイドラインに取り入れられています。

不正のトライアングルは現代でも頻繁に紹介されていますが、元々の研究は1950年代だったこともあり改善も必要との見解から、他の研究者によって進化版が幾つか発表されています。しかし、本記事の目的は不正のトライアングルを深堀りすることでは無いので、不正のトライアングルを基に考察します。

「機会」「動機」「正当化」の3要素を発生させない社内文化の醸成

「不正のトライアングル」が成立しにくい状況を作り出すことが出来れば、内部不正が起きにくくなると考えた場合にどのような対策が考えられるでしょうか?

1. 「機会」を減らす
   「機会」とは従業員が「ひょっとしたら不正が出来るのではないか?」「不正をしてもバレないのではないか?」という「犯罪をおこすチャンス」を発見した時に生まれやすくなります。企業内で不正行為ができる機会は、「監視体制が甘い」や「統制力が低い」などの背景によって生じる傾向にあります。
   「機会」への対策は、3要素の中で最も企業側が主体的に取り組みやすい要素であり、代表的な取り組みとして以下のような対策が考えられます。

   • 業務のブラックボックス化(属人化)の防止
     複数人での業務遂行、定期的な人事異動等を計画的に行う
   • 職務分掌の徹底
     特定の個人へ権限が集中しないよう、実行者と監督者(承認者)を分離する
   • システムによる制限の強化
     DLP等を用いて機密文書へのアクセスを制限する
     USB等による外部媒体への情報の持ち出しを制限する
   • アクセス制限(ユーザー認証や物理的な入場制限)
     アクセス可能な文書やシステムを必要最小限になるようにする
     金銭や個人情報を扱う場所やシステムへのアクセスを制限する
   • 定期的な監視
     金銭や個人情報を扱う場所やシステムへアクセスしている人の監視を強化する
     従業員の行動を監視し、内部統制の問題点を早期に発見する

2. 「動機」を減らす
   「動機」とは個人が不正行為を行おうと考える「きっかけ」です。例えば私生活の中で借金を抱えていたり、真面目な性格故に業績目標に対するプレッシャーであったり、あるいは上司や会社そのものに対して不満を抱えている、など「動機」は様々な原因が考えられます。
   「動機」は個人の内面に関わる問題も多いため、完全に排除することは困難ですが、企業として以下のような取り組みを行うことで「不満の発生」を和らげることが可能です。

   • 適切な評価制度の設計
     ジョブ型雇用等、従業員の能力と報酬が正当に評価されていると実感できる制度設計を行う
     全従業員の目標達成率を評価し、厳しすぎる目標値となっていないか確認する
   • ワークライフバランスの推進
     出社とテレワークの両方を選択可能なハイブリッド環境等を準備し柔軟な働き方を可能にする
     長時間労働が続いてる従業員の業務負荷を分散するように心がける
   • 風通しの良い職場環境作り
     1on1や部門間交流等を推進し「交流しやすい文化」を醸成する
     SlackやTeams等のコミュニケーションツールを活用し「相談しやすい文化」を醸成する

3. 「正当化」を回避する
   「正当化」とは不正行為を「これは悪いことではない」と自分自身に言い効かせる行為です。このような「正当化」が生まれやすい状況としては、上司や経営層に倫理やコンプライアンス（法令遵守）を軽視する言動があったり、業務担当者自身にルールを軽視するような言動や行動があるなどの「ルールを守らなくても良い」といった社内文化に問題があるケースや、正当な評価を受けていないので少しくらいズルをしても良いだろうといった不満の蓄積等が挙げられます。「正当化」も個人の倫理観に関わる部分であるため、完全な対策は困難ですが、企業として以下のような取り組みを行うことで「正当化の発生」を和らげることが可能です。

   • 企業倫理の強化
     社内規則を明文化し、違反行為に対する罰則を定め、違反があれば役職を問わず厳正に処分する
   • 内部通報制度
     社内不正発見時の報告窓口を準備し、社内不正に厳しく対処する文化であることを理解させる
   • 従業員の教育
     コンプライアンス教育等を通じて、組織がコンプライアンスを重視していることを理解させる

不正の機会を抑制するためのDLP活用

「不正のトライアングル」が成立しにくい状況を作り出すことが出来れば、内部不正が起きにくくなると考えた場合に、DLPをどのように活用することが出来るでしょうか?「機会」「動機」「正当化」のうち企業側が制御しやすい「機会」に焦点を充てて、DLPの活用方法について考察してみましょう。

「機会」への対策で挙げた例の中で、DLPを活用出来るユースケースとしては、システムによる制限の強化、定期的な監視を実現する仕組みとして活用することが可能です。

DLPが期待されるユースケースに転職予定者による競合他社への転職等で発生する手土産情報漏えいがありますが、このケースでの活用例を考えてみましょう。

転職後の雇用条件を良くするために競合他社へと重要な情報を持ち出そうとする人物が居た場合、最低限以下のような仕組みを造ることで、「不正の機会を抑制する」効果が期待出来るようになります。

1. 検出
   まず、競合他社の転職で持ち出されそうな情報を検出する仕組みを作ります。これに主にDLPが利用されます。顧客情報のリスト、仕入先のリスト、価格表、設計書等といった競合他社の手に渡ると営業活動に支障が出るような情報に対してラベルやタグを付与したり、Confidential等の特定の文字列で識別するルールによって重要情報を検出する仕組みをDLPを活用して構築します。
   ここでの注意点は冒頭でも述べたように、不正を行おうとする人物は「犯罪が発覚する」「証拠を消す」ことを考えるため、Confidential等のキーワードを消去したり、ファイル名等を全く関係の無い別名にするなどのアプローチを取ってくることを想定しておく必要があります。
   従って100%の検出精度を実現することは難しいと、予め想定しておくことが重要です。DLP未導入の場合には全く検出出来なかったものが、70～80%程度システム的に検出出来る。そして、残りの20%～30%程度は運用やガイドラインで補完し精度を挙げる。DLPだけで全てを解決しようと考えるのではなく、他の仕組みを併用することで「不正を抑制する」という目標を達成する。こういった考え方が内部不正対策に対するDLP活用では重要です。

本記事は「悪意を持って内部犯行を行う人物」を想定しています。しかし、対象が「悪意の無い善良な社員のうっかりミス」を想定した場合には、正規のルールに従った運用が期待出来るのでDLPによる検出精度も向上すると考えられます。

2. 証拠の確認
   そして、残りの20%～30%の効果アップに貢献するのが、「証拠の確認」と「警告」です。「証拠の確認」とは、「フォレンジック」とも呼ばれますがDLPで「ファイル名」だけを検出するのではなく、DLPが「ここが該当したようです」という「証拠」となる部分を記録する技術を指します。
   DLPの運用が始まると、多数のファイル等が検出されることとなるので、このフォレンジックを併用しないと誤検知/過検知かを判断することが出来ず、DLPが何かを検知するたびに電話やメールで問い合わせる行為が必要となり運用が破綻する恐れがあります。
   「フォレンジック機能」があるDLPを利用している場合には、DLPでどういった文書が該当したのかを確認することが可能になるので、本当に顧客情報等を含んだファイルにアクセスしていたかどうかの判断が容易になります。

証拠が不十分な状態でインタビューを行うと「監視能力が低い」と認識されるリスクがあります。

3. 警告
   「証拠の確認」で重要な情報にアクセス出来ていることが確認出来れば本人に問い合わせを行います。どうしてファイルにアクセスしたのか?業務上の正当な理由があったのか?をインタビューします。
   ここでのポイントは「全ての検出されたファイル」に対して問い合わせを行う必要は無いということです。
   この「警告」の期待値は「不正機会の抑制」です。「監視されている」ことを認識させることで、「不正を働くとバレそうだ」そう理解させることが目的です。以下のような条件に該当するような人物が重要ファイルにアクセスしたら「監視されている」ことを認識させることを目的としたインタビューを行います。
   • 新入社員が配属されて一定期間、警告対象とする。
   • 転職サイトに頻繁にアクセスする人物を一定期間、警告対象とする。
   • 転職決定者を警告対象とする。
   • ギャンブルサイト等を業務時間に閲覧している人物を一定期間、警告対象とする。

あくまで「警告」であり「教育的指導」と捉えることが重要です。厳しすぎる監視や警告は組織に対する不満を募らせる「動機」へと繋がるリスクがあります。

犯罪者を産まないシステム作り

ランサムウェア等の外部脅威に遭遇した場合には企業は被害者として報道されます。しかし、内部不正の場合にはたった一人が起こした「犯罪」によって、企業そのものが加害者として報道されます。
そして、なによりそれまで同僚として苦楽を共にした仲間が「犯罪者」として逮捕される可能性もあります。
セキュリティ対策の目的は「犯罪の証拠」を確保することも重要ですが、内部不正対策という点では「自社から犯罪者を産み出さない」そういった視点も重要ではないでしょうか。
DLPを上手く活用することで「犯罪者になるきっかけ」を抑制する。そういった仕組み作りも可能であることをご理解頂ければ幸いです。

脚注

1. wikipedia "White-collar crime"

2. Donald Cressey "Other people's money; a study of the social psychology of embezzlement."

3. W. Steve Albrecht "Fraud in Government Entities: The Perpetrators and the Types of Fraud"