５３００人分の顧客情報入りパソコン盗まれる 全日空

asahi.comより。

同社は社内規定で、顧客情報のパソコンへの保存を禁じ、帰宅時にはロッカーにしまって施錠するよう定めているが、貸与された社員２人はいずれも守っていなかった。

パソコンへのデータ保存を禁じても空文化するに決まっている。誰も守れないルールを定めてよしとすること自体、対策としては不十分だ（機密であると社員に周知させるという意味は理解する）。
また、記事によるとどうもデスクトップパソコンも盗難にあったようだから「ロッカーにしま」うというルールも同様だ。
シンクライアントやVPNで情報を持ち出せないor保存できないようにしてしまうという提案を良く見かけるが、これも空文化を避けられないのではないかと危惧する。なぜなら、ローカルにデータを格納したパソコンと同等の利便性を実現できないからだ。
多くの企業では情報システム担当者の地位などたかがしれたもの。実際に稼いでくる面々に「必要だ」と迫られれば抜け穴を提供せざるを得まい。そして、同じ結果を招くことになる。
とするとやはり、HDD（ストレージ）レベルでの暗号化・パスワード保護が必要なのではないか。
できれば、オンラインかつシステムアイドリング時にはサーバへ差分バックアップされるのが望ましい。
もしiPodあたりがそのような用途にも使えるようになれば便利なのだが。

Comments

[投稿情報: 青木伸也]

私のノートPC（HP製，仕事と私用の両用）は，
１．マシンの起動時にBIOSパスワード．
２．マシンの起動時にHDDパスワード．
　（HDDを単体で抜き出しても読めない）
３．Windowsへのログオン時に要パスワード．
４．サスペンドからの復帰時に要パスワード．
５．稼働中，90分後にスクリーンセイバーが起動し，
　復帰時に要パスワード．
６．稼働中のマシンから離れるときに（Windowsの）ロック．
という運用なのですが，例えばこのノートPCをサスペンド状態にして鞄にいれ，この状態で盗まれたとしたら，「対策を施してあるので情報は漏洩しません」と言って通用するんですかね？　HDD上の情報が暗号化されているわけではないので，プラッタを取り出して読み出すことも（技術的には）可能な気がしますけど．

[投稿情報: ばべる]

指摘しておられるように、支給されたユーザに対してもブラックボックス化しておくことが必須と思われ。

HDDはもちろん全暗号化し、パスワードの変更は中央で管理し、許可のないファイルの転送や消去を禁止し、全ての操作をログに取り、起動ごとにROMからシステムを上書きし、一定時間ごとに中央に接続しないとシステム全体を凍結（もしくは全消去）する。－－ユーザはこれらにはいっさい干渉不能。

さらに、デジカメや電磁波タッピングの脅威を小さくするために、ユーザが各ファイルにアクセスし得る時間や環境を（ファイルごとに）設定する。職務に応じて（出張用とか）物理認証キーを貸与されるとか。

このシステムは反対に、ユーザの常時監視にも応用可能。ユーザ位置情報や周囲の会話を収集して中央に報告。私用システムにも接続させておける口実があればなおよし。自分が携帯しているパソコンに24時間見張られているなんて素敵なエスエフ（ｗ

ところで、いわゆるIT専従企業以外でのISO 15408やISMS認証の普及度ってどれくらいのものなんでしょうか？

[投稿情報: Hi-Low-Mix]

＞通用するんですかね？
本来、所属組織が定めた規定に合致していれば問題ないはずですが、ちゃんと成文化したそれなんてどれだけの組織が備えていることやら。
さて、まずは対応内容が明確になっていれば良いのではないでしょうか。
そして、格納されている情報の重要さ・リスクと比較して、問題ないと判断さえできればいいかと。
大半のデータはOSレベルでの対応で問題ないとは思います。
ただ、データの価値をいちいち検討できないであろうと考えると、やはり「なんでもかんでも暗号化」が一番楽に運用できるのではないかと。

[投稿情報: Hi-Low-Mix]

＞ISO
どことは言わないけど、某社の方々によると「うちのグループの方がISOよりきっちりとしたルールに基づいて動いている！」そうです。
自称しているだけで、信頼してもらえるものなんすかねえ。