【天下布武！】名前を奪いに来た転校生

第４章 防衛

４０７ シャドーＩＴ

　退職者たいしょくしゃの認証情報にんしょうじょうほうを、適切てきせつに無効化むこうかしていない企業きぎょうは七割ななわりを超こえているといわれている。
　情報漏洩じょうほうろうえいは、元々もともと関係者かんけいしゃだった、退職者たいしょくしゃから漏洩ろうえいするケースが多い。

　漏洩ろうえいさせられるということは、侵入しんにゅうも可能かのうだということ。
　例えば、誰も把握はあくしていないデバイス、ＵＳＢユーエスビーメモリにマルウェアを入れてパソコンに挿し込んだ場合、何が起きるか――。
　いくら出入口の警備セキュリティを強固きょうこなものにしても、自みずから乱波らっぱを内部ないぶに招まねき入れていれば、何の意味いみも成なさない。
　内側うちがわから簡単かんたんに、 攻撃こうげきすることが出来てしまう。

　他たシステムと連携れんけいさせたり、利便性りべんせいを向上こうじょうさせる拡張機能かくちょうきのうは、適切てきせつに使えば便利べんり。
　でも、安全性あんぜんせいを担保たんぽ出来なければ、重大じゅうだいなセキュリティホールになってしまう。
「私が把握はあくしてないものを使わないでください。わからないときは、尋たずねてくだされば答こたえます」
「はい。有名ゆうめいなものでもダメですか？」
　ダウンロードして使える無償配布品フリーウェアや、試用期間があるものシェアウェアには、スパイウェアプログラムを内蔵ないぞうすることが可能かのう。
　つまり、知らないうちに情報収集じょうほうしゅうしゅうを始め、送信そうしんされるリスクがあるということ。

　使用承諾文しようしょうだくぶんにインストールされる旨を記載きさいし、利用者ユーザーが手動しゅどうでチェックを外さなければ、インストールされる仕組しくみにする。
　たったそれだけで『利用者ユーザーの意思いしにより、インストールした』事実じじつを成立せいりつさせられる。

　『安全のため』や『高速化こうそくか』、『最適化さいてきか』等、適当てきとうな言葉ことばを並ならべたものに釣つられるような人間にんげんは、使用承諾文しようしょうだくぶんを読まない。
　まさに格好かっこうの餌食えじき。

　スパイウェアをインストールさせる手法しゅほうは、いくらでもある。
　例えば『はい』と『いいえ』、二つのボタンのどちらを押してもスパイウェアのダウンロードが始まる仕組しくみにする。
　二つのものを同じ挙動きょどうにする合理的ごうりてきな理由りゆうは無いのだから、 指摘してきされたとしても『バグです』と言い逃のがれられる。
　『わざと、そんなことをするはずがない』と主張しゅちょうすれば、第三者がそれを否定ひていすることは難むすかしい。

　ただ、そんなことを伝えても、恐怖心きょうふしんを煽あおり、疑心暗鬼ぎしんあんきにさせるだけ。どう伝えるべきか――。
「そうですね。使ってはいけないという意味合いではなく、見えるところで堂々どうどうと使ってくださいという意図いとです。なので、まず尋たずねてください。主おもな目的もくてきは情報漏洩じょうほうろうえいリスクの抑制よくせいです。例えば、何かと連携れんけいすれば、連携先れんけいさきは紐付ひもづいているデータを抜き取ることが可能かのうになります。つまり連携先れんけいさきの判断はんだんで機密情報きみつじょうほうを、知らない何処どこかへ共有きょうゆうすることも出来てしまうということです」
「なるほど……それはダメですね」
「厳きびしく規制きせいするのが、リスクマネジメントとしてはベターです。でも『生産性せいさんせいが……』等の反発はんぱつが大きく、無許可むきょかで勝手かってに使用しようされるようならば、申告しんこくすれば使えるといった緩ゆるい形式けいしきで運用うんようし、勝手かってに使われることを抑止よくしする方ほうが、幾分いくぶんか良いです。有事ゆうじの際さい、被害ひがいは被こうむりますが、影響範囲えいきょうはんいを知ることは出来ます」
「いやぁ、それは……」
「では、勝手かってに使わせないでください」
「そうします」