証跡管理の進め方

証跡管理を有効に機能させるには、対策の実行・ログ取得に加え、運用ルールの策定から対策状況のチェックなどのPDCAサイクルを回すことが重要です。具体的には、運用ルールの策定（Plan）、対策の実行（Do）、対策状況の評価とチェック（Check）、問題行為への対応（Act）、そしてルールの見直し（Plan）を繰り返すことです。

Plan「運用ルールの策定」では、想定されるリスクに対して、どういう統制／対策を行うか、どういうルールで運用していくかを決定します。Do「対策の実行（ログ取得）」では、運用ルール実現のための制御とログ取得を実行します。Check「対策状況のチェック」では、取得ログを収集・分析し、運用ルールに合わない不正な操作がないかを確認します。Act「問題行為への対策」では、問題行為による影響確認と対処、ならびに違反行為発生の原因究明をします。そして再びPlanの運用ルールの見直しに戻ります。

証跡管理には、クライアントの証跡管理とシステム全体の証跡管理があります。まず、クライアントの証跡管理について見ていきましょう。

クライアントの証跡管理とは

情報漏洩事件が相次いだ頃には、不正なアプリケーションを起動させない、外部メディアを使わせないなどの、操作の禁止が中心で、ログについては蓄積する程度でした。しかし、ログを収集するだけでは十分な証跡管理ができているとはいえません。現在では、これらのログを元に、ルール通りに業務が行われているかのチェックを行う本当の意味での証跡管理が不可欠となってきています。

富士通の統合運用管理ソリューションSystemwalkerにおいて、クライアントのログ収集と分析を担っているのがSystemwalker Desktopシリーズです。

Systemwalker Desktopシリーズは、情報漏洩対策向けのクライアント管理製品です。ログ収集はもちろん、多彩な分析機能や対策状況をチェックする機能を搭載しており、これがSystemwalker Desktopシリーズの大きな特長となっています。ここでは、その主な機能を紹介しましょう。

情報漏洩予防診断

リスクの見える化 （Systemwalker Desktop Log Analyzer）

最初は「情報漏洩予防診断」。収集されたログを分析し、情報漏洩につながる危険性のある操作の動向を数値化して、リスクを表面化する機能です。

情報漏洩予防診断により、機密情報の参照が多い部門はどこか、アクセスが多い特定のクライアントがあるかなどを絞込・除外条件により、集計・分析します。違反操作のランキングも一覧表示し、リスクを見える化。漏洩の予兆をキャッチし、防止対策を徹底するなど統制を強化できます。

傾向分析

対策進捗状況の確認 （Systemwalker Desktop Log Analyzer）

次は「傾向分析」。ファイル操作、Webアクセス、メール送信などのログを集計し、レポート出力する機能です。セキュリティ対策状況を把握し、セキュリティリスクの増減などを報告するための資料として活用できます。従来人手で行っていた報告書やレポートなどの作成作業から担当者を解放します。

また、これらレポートから、セキュリティ対策の徹底や進捗状況を判断できます。効果が上がっていないことが判明した場合、対策の見直しを行うことで、セキュリティ統制の強化に役立てることができます。

ファイル追跡

情報漏洩ルートの把握 （Systemwalker Desktop Keeper）

1日に収集されるログは膨大な数になり、ファイル名が変更されるとそれ以降の追跡が極めて困難になります。例えば、機密ファイル「顧客リスト.doc」のファイル名が「製品ご紹介.doc」に変更されたとします。これで追跡ができない、または多くの手間がかかるようでは、完全な統制とはいえません。

そこでSystemwalker Desktop Keeperに用意されたのが「ファイル追跡」です。重要な機密ファイルに焦点を当て、追跡を可能とする機能です。特定のファイル名をキーとして、そのファイルがどこからどのように来たかを過去にさかのぼって追跡したり、そのファイルがその後、どのように扱われたか（変名・コピー・削除など）を追跡し、一覧表示することができます。

ファイルの原本保管

持ち出しファイルの中身を確認 （Systemwalker Desktop Keeper）

ファイルの持ち出しがあった場合、そのファイルの中身がわからないと危険性を判断できません。例えば、「製品ご紹介.doc」のような一見問題のないファイル名であっても、内容は「顧客リスト」かもしれません。そこで、持ち出しの際に管理サーバにファイル内容をコピーして、後から中身を確認できるようにしたのが「ファイルの原本保管」です。

持ち出しログと原本データを付き合わせて確認することで、危険な持ち出しの有無を判断できます。

【持ち出しファイルの原本保管実行イメージ】

点検帳票による証跡管理

危険な操作のみを効率的に点検

クライアント操作の統制のためには、全てのログを詳細に確認する必要がありますが、そのログは膨大な量です。ここでは、点検帳票を使った確実でかつ、効率的な点検の実現方法をご紹介します。

例えば、管理者は、点検帳票（ファイル持ち出しログ一覧）から上司承認されていないなどのルールを外れた不正の可能性のある操作のみをチェックします。ログビューアにより、対象ファイルの追跡を行い、情報源を特定し、さらに管理サーバから原本を参照し、危険な持ち出しかどうかを判断します。持ち出された情報そのものが分かるため、問題のないことの確認や、問題のあった場合の影響範囲、対処が容易になります。

【証跡管理運用イメージ（クライアントPCログ）】

いかがでしたでしょうか。富士通のクライアント証跡管理は、利用部門に過剰な利用制限をかけることなく、同時に管理部門の負荷を高めることなく、情報漏洩の防止に効果を発揮します。これにより真に効力のあるIT全般統制を実施できるのです。

---

次回はシステム全体の証跡管理について紹介します。