ブログ

2008年からの内部統制以降、企業のリスク低減努力は？

2012年10月18日

2008年に内部統制が少々ブームになりました。
それは前回少々お伝えしたとおりです。
J-SOXの影響ともいえるかもしれません。
では本当に統制が取れたのでしょうか。

 

J-SOXの条件に関連会社の統制も入っていました。
もちろん株数によりどこまでを関連会社とするか、外注を依頼する企業にはどこまで関与するかとか細かな懸念事項もありましたが、内部統制は会社内に限ったことではなかったはずで、社内からのリスクをどれだけ低減させることが出来るかといった視点が主だったと思います。

 

この観点は標的型攻撃の対策の糸口にもなるのではないでしょうか。

 

標的型攻撃の本質は「成りすまし」です。
その人に成りすまして、ウイルスを忍ばせます。

 

では、その人に成りすますにはどうしたらいいのでしょうか。

 

その1つのやり方として、SNSがあります。
FacebookやTwitterのようなSNSは自分に必要な情報を見つけられたり、コミュニケーションとして面白い手段であると同時に、全く知らないヒトに情報を渡してしまうネットワークです。

 

社内での情報制御が十分であったり、対策がとられていても、業務上関連する会社から情報がでてしまうといったことは考えうることです。

 

はじめの内部統制の考えに戻りますが、少しでもリスクを減らすにはどうすべきでしょうか。

 

出来ることからはじめましょう。

 

まず、社内にてどこまで情報を出していいかを徹底すること。
その情報を関係会社がどこまで出していいか伝えること。

 

リスクをどれだけ減らそうかといった企業の姿勢を具体的な情報とともに伝えることが1歩ではないでしょうか。

 

もちろん、ヒト依存の対策には穴があります。
弊社では、内部統制に必要な “メールソリューション” をまとめております。

 

ぜひ、ご活用ください。

 

(Vol.56)

------------------------------------------------------------------------------------------------
Copyright(C) 2012,2020、スワットブレインズ　掲載記事の無断転載を禁じます。

クラウドサービスのサービスにも対応します。

2012年10月15日

以前、スワットカメラでクラウドサービス向けの弊社の提供について掲載しました。

 

その後、その掲載内容をご覧になった方から、お問合せをいただきました。

 

「スワットブレインズでは、アプライアンスサーバ以外の提供も出来るの？」と。

 

「はい。行っております。」と、お答えさせていただきました。
現在は、サービス利用に向けてご検討いただいております。

 

弊社は、これまでアプライアンスサーバへ業務で活かせる、会社として必要となるソフトウエアを、運用目線で独自の実装をして提供してきました。

 

そのため、クラウドサービスになっても、バーチャルアプライアンスとして提供出来るモデルも立ち上げることができました。

 

もちろん、アプリケーションとして仮想化環境に適用していることもあります。

 

問合せいただくサービスとしては、

 

1. 大容量ファイル交換システム
2. 電子メールのセキュリティサービス向けシステム

 

があります。

 

企業が扱う電子文書は、書式が多様化しているだけでなくファイルサイズも大きくなっています。

 

その大容量化した電子ファイルを、安全に外部に送信したり、或いは、外部から受取る方法にご提案するものです。

 

ポイントとしては…

 

1. ギガバイト(GB)単位での電子ファイルでもネット経由で送れる。
2. 電子ファイルを、暗号化しなくても、システム側で暗号化したり、受領する人を確定するためにファイル受取り用のパスワードを独自で設定できる。
3. 大容量ファイルであっても、高速転送の専用エンジンを適用し高速でダウンロードが出来る。
4. 操作がWebメールのようなイメージであるため特別なトレーニングをしなくても容易に利用できる。
5. 利用者が、あれこれ利用する機能を選ぶような手間を減らし、簡単に高いセキュリティ仕様で利用できる。
6. ファイルを送るだけでなく、受信(受取り)目的でも、特別な登録操作をせずに利用できる。

 

など、たくさんあります。
これが、デジ急便システム です。

 

また、電子メールのセキュリティサービス向けでは、普段の業務の中で多くの利用がある電子メールの送信時における手間やリスクを小さくすることが出来る仕組みを提供します。
さらに、心配なウイルスの対策や、迷惑なメールの検知や分別排除などを実現するための仕組みを提供します。

 

ポイントとしては…

 

1. メール送信時に誤送信したことに気付いたら、システム管理者に相談することなく、速やかにメール送信をした本人の操作で、誤送信したメールを停止することができる。
2. 添付ファイルを暗号化して送る場合に、送信者は、元ファイルをそのまま添付して送付してもシステム側で、自動的にパスワード生成を行って、暗号化して相手に送付ができる。
3. 数MBを越える大きな容量の添付ファイルである場合は、自動的にダウンロードサーバに移行しメール受信者にダウンロードURLを通知する。メール受信者側の受信制限を気にしない。
4. 宛先アドレスを複数指定した場合、メールアドレス漏えいのリスクを回避するために、送信先アドレスを一括してBcc化変換を実施する。
5. 迷惑メールを受信した場合、国内の大手ＩＳＰが採用しているアンチスパムエンジンと同じエンジンを搭載し、高い検知率を提供する。
6. もしもの誤検知があったとしても、その原因や理由についても可能な限り情報を提供する。

 

など、たくさんあります。
これが、safeAttach Evolutionシステムと、SPAMBlockシステムです。

 

アプライアンスサーバでの数々の実績と経験を踏まえて、多くのクラウドサービスで提供されるメニューにご提案しております。

 

(Vol.55)

------------------------------------------------------------------------------------------------
Copyright(C) 2012,2020、スワットブレインズ　掲載記事の無断転載を禁じます。

第三者によるパソコンの遠隔操作事件のこと(3)

2012年10月12日

しかし、自宅で家族や個人が使っているパソコンやスマホと呼ばれる端末と、会社などで仕事で使うパソコンでは、少し意味が異なると思います。

 

そこで、会社や仕事の現場で使うパソコンに目を向けてみたいと思います。

 

今回の事件で話題になっているボットは、無料のソフトウエアをパソコンに入れたことが発端と言われています。

 

誰でもそうですが、無料という言葉には引き寄せられやすいです。
でも、ホントに善人が居て、私財を投じてボランティアのごとく”無料”で配布されるソフトウエアを除けば、何らかの作成者にメリットが無いはずが無い訳です。

 

全ての無料のソフトウエアが、ウイルスの可能性があって悪意があるような意味ではありませんが、有料版に比べたら考えやすいと言う意味です。

 

でも、職場のパソコン端末であれば、普段の仕事で使うための環境は一般にシステム管理者が用意し、会社として必要な環境が決まっている中で利用するケースが多いと思います。

 

利用者が、個別に無料だから…で何か勝手にソフトを入れることは少ないケースと言えます。

 

そういう意味では、ボットに感染する可能性があるとしたら…

 

1. 不意にアクセスしたWebサイトからウイルスが送りこまれる。
2. メールの添付ファイルを開封したことでウイルスが実行される。
3. USBメモリやCD-ROMなどの外部媒体をパソコンに接続しウイルスに感染。

 

こんな経路になると言えます。

 

このように整理すると、会社や職場での対策はポイントがある程度絞れます。

 

対策として…

 

1. インターネットのWebアクセスを制限する仕掛けを導入する。
   利用者が、無意識に危険なサイトに接続することが無いようにURLフィルタ系の仕組みでアクセスを制限したり、悪気無く接続してしまうような通信を検知し遮断するために、 OnePointWall のような通信パケットフィルタ系の仕組みを用いて、会社や組織の内部利用者が、不安なサイトへアクセスしないように対策する。
2. 電子メールの受信時リスクを低減できる仕掛けを導入する。
   従来の、アンチウイルスや迷惑メール(スパムメール)対策は、さらに厳重な運用を行うように見直しをする。
   さらに、電子メールの添付ファイルを無意識に開封してしまう状態であっても、感染のリスクを小さくするために、防人 のような仕組みで、ウイルス付(混入含)の添付ファイルであっても安全に安心して内容を確認出来るような仕組みで対策する。
3. パソコン端末を個々に管理する仕組みを導入。
   パソコンの中に常駐し、利用者がどんな操作をしたか記録したりする仕組みの１つとして、想定外の外部媒体へのアクセスを禁止する仕組みがあります。
   また、同様に外部媒体を全く接続させない仕組みとして運用することができます。

 

これらの対策は、基本的に「入口側対策」を指しています。

 

昨今のボットをはじめとするウイルスは、感染してしまうと、どんな事態が起きるのか想定するのが難しいです。従って、人が想定して準備した「出口側対策」では対応が後手に回ってしまい、投資しただけの効果があると言うのが難しいです。

 

それに対して、入口側対策は、運用は大変だし内部に対して業務の利便性を損なう場合もあるかもしれませんが、感染前に感染を阻止する方が対象を絞ることができます。

 

いずれやらなきゃダメだな…と、言ってる時間は無くなってきました。

 

今の時代に出来る対策は、入口側対策の方が投資に見合っていると言えます。

 

今回をきっかけに、自分達のネットワークを見直すことから始めて、そして、これからどういう風に進めていくかを、大至急検討する必要があります。

 

リアル社会の”インフルエンザ”のように、爆発的に感染が拡大する可能性もあります。
もし、そうなったら、対処が出来ない事態を招きます。

 

そんなことにならないように、早急にご検討ください。
また、弊社や弊社の代理店にご相談ください。

 

(Vol.54)

------------------------------------------------------------------------------------------------
Copyright(C) 2012,2020、スワットブレインズ　掲載記事の無断転載を禁じます。