誰も教えてくれないオンラインストレージ選び方ガイド ー 9つの勘所

tablet-791050_1280 (1)

情報システム部門を説得するのに役立つ、オンラインストレージを検討するときにおさえるべきセキュリティ面でのポイントをより詳細に解説いたします。

iPadなどタブレットを全社導入したものの活用しきれずに引き出しの中に眠らせていませんか?

タブレットにDropboxのようなオンラインストレージ(ファイル共有サービス・クラウドストレージともいいます)を組み合わせればタブレットは一気に活躍の場を広げることでしょう。

ところが、情報システム部門の担当者はパブリッククラウドの採用にはとても慎重です。彼らが安心して採用に踏み切るには、第一にセキュリティ面での懸念ポイントを抑える必要があります。懸念ポイントがすなわち採用ポイントといっても言い過ぎではありません。

そこで、大手の情報システム部門の担当者を中心に一年間ヒアリングした生声を9つのポイントをより詳細に整理いたしました。

情報システム部門の担当者はいったいどのような理由から懸念と感じるのか?今一度整理することで、便利なオンラインストレージがいざ必要になったときの参考となるのではないでしょうか?

1.ファイルが見られる人、見られない人を管理できる(フォルダー管理)

社内であっても関係者以外に開示できない情報は業務につきものです。「フォルダー管理」には関係者以外には見せないなどが可能なアクセス制限機能が求められます。

通常、法人向けオンラインストレージには管理機能があり、管理者が作成したフォルダーに対してアクセス可能な利用者を「割り当て」することによりこの制御を可能とします。「割り当て」されない利用者はファイルを見られないだけではなく、画面にフォルダー自体が表示されないのが理想です。

2.「編集可能」や「閲覧のみ」など利用者への権限付けできる(権限管理)

例えばマニュアルとか手順書などの場合、勝手に内容が変わっていたり、いつのまに削除されたり、などのようなトラブルが生じると、業務にも重要な支障をきたすことが考えられます。

先の「フォルダー管理」に加えて「権限管理」があればこのようなリスクは避けられます。閲覧権限を付与された利用者はファイルの編集、削除、移動、アップロード、ダウンロードを行うことができずに閲覧のみが許されます。

とくに、部門間や会社間など組織をまたいだファイル共有を想定する場合は外せない要件ではないでしょうか?

feat-01-img

3.利用端末を限定・特定ができる(デバイス認証)

通常、IDとパスワードを入力してサービス利用を開始します。IDとパスワードの認証で利用者を特定する、というわけです。しかしこれだけだと不十分というのが情シス担当者の意見です。

どの端末(PCやタブレット端末)からアクセスできるかを制限できて初めて検討の余地がでてきます。これをデバイス制限(制御)、端末制限(制御)と呼びます。一般的には、IPアドレスとかMACアドレスによるデバイス制御がありますが、残念ながらこれらは改ざん可能であり、オンラインストレージの採用に踏み込めない理由にもなっています。

そういうわけで、改ざん困難な端末固有の情報で制御する仕組みが必要になります。よく探せばそのようなサービスはありますので、無料トライアルなどで試して理解を深めてみましょう。

そもそも、ID・パスワードを不十分とする理由について補足しますと、例えば、ID、パスワードを付与された社員が退社した際、悪意を持って個人端末から機密データを抜き取る可能性が想定されます。

別の理由としては外出した社員がネットカフェの端末を使って業務データをダウンロードすることもあり得ます。

高度なデバイス認証はこのようなリスクを排除できるのです。

4.誰がどのファイルをいつ操作したかログを確認できる(監査対応)

社内ファイルサーバの場合、情報漏えいなどファイルの利用に不正が生じたら調査の初動はログの確認です。これはオンラインストレージでも同じこと当てはまります。

ログ機能は別の目的にも活用されていますのでちょっとだけ紹介します。

  • 航空会社の客室乗務員のログ:  最新のマニュアルを客室乗務員が利用しているかのチェック
  • 外勤の営業マンのログ: どの商品の電子カタログをよく使っているかの調査

5.タブレット端末やスマホにデータを残さない(データ漏洩リスク対策)

オンラインストレージとタブレット端末を組み合わせることにより、外出先の会議室はもちろん、工場の生産ラインや工事中の建設現場でも、従来データ連携が困難であったような場所が情報共有可能なエリアへと変化します。

…といった華やかな表現とは反対に情シスの担当者は、まず端末の盗難や紛失のリスクについて考えます。そして行方不明となった端末に残されたデータが抜き取られ、データ漏えい事故につながることを懸念します。

なぜなら、オンラインストレージ上のファイルをタブレット端末にダウンロードするとき、一般的にはタブレット端末に搭載されたキャッシュにファイルを保存させてしまうからです。

対策としては、キャッシュ内のデータを消去する有償アプリ(たとえばMDM)がありますが、当然一台当たりの費用や管理する負担が増えます。

理想はキャッシュに書き込みを行わずにファイル表示ができるオンラインストレージを採用することです。さらに、キャッシュを使わずに一時保存を行うことができ、一定の時間が経過すると自動的にデータを消去する機能も備わっていれば、たとえ地下や高層階などの電波の届かないところにもタブレット端末の活用の場は広がります。

ごく僅かですがそのようなオンラインストレージは存在するのです。

feat-02-img2

6.すべての通信は暗号化される(盗聴防止)

オンラインストレージと端末のあいだはインターネットを介してファイルが行き交います。情シス担当者は、この通信経路での他の端末からの成りすましやデータの盗み見・改竄なども懸念します。TLS(SSLの最新規格)と呼ばれるインターネット内のファイルを暗号化させる通信手順がオンラインストレージのサービス仕様としてサポートしていればひとまず安心です。

7. データの保管先は国内のDC(国内法令順守)

オンラインストレージのサービス基盤がどの国にあるのか気にしますか?気にしませんか?個人で利用する範囲であれば、たいがいは気にしませんよね...

情シス担当者は気にします。

Dropbox、Evernoteなど億単位のユーザー数を誇る人気のオンラインストレージは全て海外サービスであり、国内企業の情シス担当者は業務データが海外に保管されることに懸念を示します。ただ心情的になんとなく「海外にデータあるのは不安」との意見が多いのですが、こんな具体的な理由を挙げる企業もいます。

ヘルプデスクとのやりとりに日本語が通じない。

  • 紛争の解決手順に海外の裁判所が指定されている。
  • 米国愛国者法(USA Patriot Act)
  • ※テロや犯罪捜査によりクラウド事業者が保有するサーバが捜査当局に押収された場合、利用者は事業を継続できなくなる可能性がある

海外ものはGB単価の安さと利便性がウリでしたが、最近の国内の法人向けオンラインストレージもGB単価が大幅に下がり、利便性も格段に上がっていますので、国内で事業を営む企業であれば国内もののサービスを選ぶのが賢明ではないでしょうか?

8.管理者によるログイン、ファイル操作の緊急停止(アカウントロック)

オンラインストレージにアクセスするタブレット端末は持ち運びに便利です。そのため場所を選ばない機動力の高さがウリである一方、紛失・盗難の可能性も高まります。万が一そのような状況にあった時でも、アカウントロックをかけてログイン、ファイル操作を緊急停止できる機能があればデータ流出のリスクは排除することができます。

9.ウィルス対策

オンラインストレージは、たとえそれが法人向けでも、一般的にはパブリッククラウドサービスが多く、複数企業が同じシステム基盤を共有する形式を取ります。それにより、自前構築・運用(オンプレミス)より安価で利用開始が可能となります。この時、懸念されるのが、ある利用企業がこのオンラインストレージ上にウィルス感染されたファイルを格納した場合に他社が影響受けるか、という点にあります。サービス提供会社がこのようなウィルス感染リスクに対してどのような対応をされているかも確認ポイントの一つとなります。

 著:ビジネス on IT運営事務局、タブレット班

Pocket

コメント