MonitorDog

従業員が一生懸命働いている間に、誰かが静かにスマートフォンでそのモニターを撮影しているとしたら？ファイアウォールと暗号化はこの脅威に対して無力です。これがビジュアルハッキングです。

コールセンターのオペレーターが着信コールを受けながら、顧客の口座番号、マイナンバー、ローン履歴を——すべて画面上に——表示しています。モニターの隣にはスマートフォンが置かれています。その瞬間、DLPアラートは一つも発動しません。コールセンターと金融機関は最も集中した量の顧客個人データを取り扱っていますが、多くの場合、構造的に最も脆弱な画面セキュリティの状態にあります。

個人情報保護法違反で罰則を受けた組織の多くは、意図的に情報を漏えいさせたわけではありません。画面に表示された個人データが権限のない者に見られないようにするために必要な技術的措置を実施しなかったとして制裁を受けるのです。法律が求めるのは結果だけではなく、プロセスを精査するものであり、画面セキュリティはそのプロセスの一部です。

セキュリティインシデントは外部攻撃者だけが引き起こすものではありません。IBMとPonemon Instituteの調査によると、インサイダー関連インシデントの平均コストはイベントあたり1,600万ドルを超え、インサイダーインシデントの半数以上が悪意のある意図ではなく単純な過失によるものです。CISOにとって、インサイダー脅威は最も対処が難しい課題の一つです。規制が厳しすぎると生産性が損なわれ、緩すぎると警告なしにどこでも情報漏えいが起きる可能性があります。

企業の情報漏洩防止を考えるうえで、DLP（Data Loss Prevention）は欠かせません。しかし、DLPを導入しても、スマートフォンで業務画面を撮影する物理的な情報漏洩まで自動的に防げるわけではありません。

画面からの情報漏洩対策は、ファイルやネットワーク上の移動だけでなく、機密情報が画面に表示された後に撮影・露出する経路まで保護する考え方です。本記事では、従来型DLPが実際に何を防ぎ、画面情報保護の盲点がどこから始まるのかを解説します。

DLPを導入し、USBポートを無効化し、すべてのメール添付ファイルを監視していても、それらすべてをすり抜けるデータ持ち出しの手口に対して脆弱なままの組織があります。従業員がスマートフォンを持ち上げてモニター画面を撮影する行為、いわゆるビジュアルハッキングは、デジタルの痕跡を残さず、ネットワークトラフィックも発生させず、セキュリティアラートも一切作動させません。