コラム第933号：「MECEによる不正アクセス対策の体系化」

第933号コラム：佐藤　慶浩 理事（オフィス四々十六　代表）
題：MECEによる不正アクセス対策の体系化

「不正アクセス」と書けば、「不正なアクセス」ということだから「悪いことをするためのアクセス」であって「してはいけないアクセス」みたいなことだろうと誰しもが考えます。実際にも「不正アクセス」という用語は一般的に使われています。
しかし、そこに「対策」をつなげた「不正アクセス対策」となると、不正アクセスの解釈がまちまちだと、「不正アクセス対策には、○○することが必要です。」と言うことは「なんらかの対策には、○○することが必要です。」と言っているのと同じです。本来ならば、「○○することが具体的には何の対策にどう役立つの？」と問うてから○○することの必要性や是非を議論しなければならないのに、その問いが見過ごされてしまったままで「確かに、不正アクセス対策には、○○することが必要ですね。」という仮性対話（会話の内容の共通認識が成立していないにもかかわらず、表面上は会話が成立しているように見える状態の対話のこと）になってしまうということです。

そこで、不正アクセスとはどんなアクセスなのかを改めて考えてみます。
漠然としたことを整理するためのツールとMECE（Mutually Exclusive Collectively Exhaustive：相互に排他かつ全体を網羅）があります。MECEの中でもっとも簡単な使い方である「はい」か「いいえ」の質問で分別する方法で整理してみましょう。

まず、誰がしたことなのかについて「主体認証の識別子を与えられた人によるアクセスか？」で分別し、次に、何をしたことなのかについて「アクセスの許可を与えられたことによるアクセスか？」で分別します。そして、「業務のためのアクセスか？」で分別し、「アクセス結果を業務以外に使う意図がないか？」でも分別します。いずれも「はい」か「いいえ」かの限定質問による分別ですから、これらの質問で分別してできあがる類型は、MECEが成立しています。
すべての質問に「はい」で分別されたもの以外が不正アクセスに該当し、「いいえ」で分別された類型に順番に名前を付けることにすると、「①情報の流用」「②許可の乱用」「③無許可のアクセス」「④主体識別子の盗用」の類型を導き出すことができました。

「◎情報の誤用（Misuse of information）」は、不正アクセスではないですが、アクセス者の認識不足や誤操作により、結果的に不適切な行為となることです。本人は不適切なことをするつもりがなかったので、それが誤ったことだとあらかじめわかっていればしなかったことです。これを防ぐには、アクセスした情報をどういうことに使ってはいけないかを明示的・具体的に定めて、啓発・教育した上で、誤操作を防ぐために訓練しておくといった人的な対策が基本になります。
「◎情報の誤用」が起きてしまうと、とても残念な結果になります。起こしてしまった人は何らかの責任を取らなければならないものの「あらかじめわかっていればしなかったのに」と思い、組織としては何らかの被害を受け「あらかじめ周知しておけば起こらずにすんだのに」という思いとなり、どちらにもやるせなさしか残りません。
不正アクセスではないものの、不正アクセス対策に関連する対策として見逃さないように注意すべき対策です。

「①情報の流用（Misappropriation of information）」は、業務上アクセスした情報を業務以外の目的で使うことです。「◎情報の誤用」との違いは、使い方が業務以外であることを本人が認識している点です。
本人は悪いことだとわかった上ですることなので、何が悪いことかについての啓発・教育・訓練では防げません。また、業務上アクセスした情報を他の目的で使うことから、アクセスだけを監視することでは、流用を検知することは困難です。
IDFの第856号コラム「不正行為の原因論と機会論」で説明した機会論における共同体の障壁を下げないようにするための啓発・教育や環境つくりなどの包括的なガバナンスを構築する必要があります。

「②許可の乱用（Abuse of authorization）」は、与えられたアクセス制御の許可を業務以外の目的で使うことです。本来は、業務上必要なアクセスに限って許可を与えるべきですが、それを完全に合致させることは困難です。アクセス許可が不足していると、業務に支障が生ずるため、結果的に、アクセス許可は、業務上必要な範囲を包含する範囲で与えられることになります。
業務上なくてもよいアクセス許可を最小限にするためには、5W1Hで詳細度を高めた検討が有用です。5W1Hのうち、Whoは主体認証によるもので、Whatはこれまで説明したようなアクセス制御によるものです。Whyは情報の誤用や乱用を防ぐ中で対策し、残るWhen, Where, Howは技術的対策の検討の余地があります。例えば、ある情報にアクセスする必要があったとしても、それを深夜に行う必要がなければ、アクセスの時間帯を制限することができます。リモートからのアクセスであれば、そのアクセス元の場所を制限することができます。また、日常的なアクセスの傾向を把握して対処するために、変則アクセス（anomaly access）への制限や検出機能の導入も効果的です。例えば、ある人が通常は、1日100件程度のアクセスをしているのに対して、突如、1000件以上のアクセスをするようなことを「変則」と見なして制限や検出通知するというものです。
そのように、アクセス許可をさまざまな観点で業務に支障のない範囲で最少にすることが、許可の乱用の余地を狭めることに有用です。

「③無許可のアクセス（Unauthorized access）」は、アクセスできないようにアクセス制御していたのに、アクセスされてしまうことで、バイパスと呼ばれます。バイパスは、システムの設計上または開発上の欠陥によるもので、技術的または運用上の脆弱性があったことになります。これについては、バイパスをなくすような対策をしなければならず、アクセス制御を強固にする必要があります。

「④主体識別子の盗用（Identity theft）」は、ある人に与えていた主体認証の識別子を別の人の意図で使われてしまうことです。アカウントの乗っ取りとも呼ばれ、主体認証情報が盗まれることの技術的防止策について、主体認証を強固にする必要があります。実際には盗まれる以外に、単に騙し取られることを防ぐための人的予防策も必要です。さらに、アカウントの乗っ取りは、別の人が識別子を直接使うことですが、その他の可能性として、ある人が騙されたり脅迫されたりすることで、別の人の指図でシステムを操作することが考えられます。騙されることを防ぐには、啓発・教育・訓練が有用です。脅迫については、脅迫を受けたときの組織として個人への支援体制をあらかじめ整備するとともに、それでもなお、防げないというリスクを認識して対応する必要があります。
いずれの場合も「④主体識別子の盗用」が起きると、盗用された識別子でできることがすべてできるため、別の人によって「①情報の流用」や「②許可の乱用」と同じ被害が起きうることになります。ただし、被害の範囲は、「③無許可のアクセス」が起きなければ、盗用された識別子でできる範囲にとどまります。

以上のように、不正アクセスを①～④の類型にすることができました。各類型は、それぞれに個別の内容で対策も異なることがわかりました。そのため、不正アクセス対策を考えるときには、これらの類型ごとの対策を組み合わせなければいけないことがわかります。
システム設計の際に、これらのことが実現できるような仕組みを作りこんでおくことが必要となり、技術的な対策に加えて制度的な対策を施す必要があります。

特に、「許可の乱用」と「無許可のアクセス」の間に隔たりがあります。許可の乱用は「やればできるがやってはいけないこと」であり、無許可のアクセスは技術的対策に問題がなければ「やろうとしてもできないこと」となります。そして、許可の乱用への技術的な対策状況が「やればできるが誰が何をしたかは後でわかる状況」なのか「やればできるし誰が何をしたかがわからない状況」なのかでは、後者の状況では「情報の流用」の課題を併せ持ってしまいそうです。
したがって、①～④を区別せずに、不正アクセスとしてひとまとめにして取り扱うと対策の整理ができなくなることがわかります。

また、不正アクセスとは、アクセスしてから不正なことをしなくても、許可を受けていないアクセスをするだけで不正アクセスに含めるべきなのがわかります。これは、不正アクセス禁止法が同じ考え方になっています。

情報システムとは関係ないですが、立ち入り禁止の看板の書き方の違いに似ています。多くの場合は、「無許可の立ち入り禁止」と書いてあると思います。「不正な立ち入り禁止」というのはあまり見たことがありません。最終的に禁止したいのは、立ち入って悪いことをすることですが、そもそも、無許可で立ち入ることを禁止する方が具体的で明確です。
不正アクセスに限らず、ルールや規程などで「不正な〇〇」という書き方をするときに「不正な立ち入り禁止」の看板にならないかを注意した方がよさそうです。ただ、だからといって「無許可の〇〇」がよいかと言えば、それでは許可を受けた人が悪いことをすることが対象外になってしまいます。「不正な＝無許可の」ではないものとして書き分けなければなりません。

以上のことから、冒頭で紹介した「不正アクセス対策には、○○することが必要です。」と言う場合には、〇〇することが①～④のどれのために必要なことかを考えることができます。それによって仮性対話を防ぐことで、不正アクセス対策として必要なことの網羅性を高めることができます。
大切なことは①～④までの対策の項目が単なる羅列ではなく、それらがMECEを満たした類型として体系化されていることが重要です。その意味では、①～④の項目に「①情報の流用」「②許可の乱用」「③無許可のアクセス」「④主体識別子の盗用」と名付けましたが、項目名は重要ではなく、名付けずに単に1番から4番までの項目とするのでも構いません。さらには、ここで紹介したものとは異なる質問で分別した構成でもよく、MECEを満たす体系にすることが重要です。

以上
※著作権は、佐藤氏に属します。
※本稿は筆者の見解であり、IDFの見解を示すものではありません。