中小企業のためのインサイダー脅威検知

インサイダー脅威とは何か

インサイダー脅威とは、正当なアクセス権を持つ人物が――意図的か否かにかかわらず――それを行使して組織に害を及ぼすリスクを指します。米国のCybersecurity and Infrastructure Security Agency(CISA)は、内部関係者(insider)を組織の人員、施設、情報、設備、ネットワーク、システムを含む資源に対して、正当なアクセス権または知識を現在有する、あるいはかつて有していたすべての人物と定義しています。ここで重要な働きをしているのは正当なという語です。侵入する必要はどこにもありません。

CISAが中心に据える区分は、非意図的な害と意図的な害の違いであり、これとは別に、その両方にまたがる2つの状況を挙げています。つまり実務上出会うことになるラベルは4つです――これは知っておく価値があります。というのも「インサイダー脅威の3つの種類」というフレーズはあらゆる場所で繰り返されていますが、実際の出典とは一致しないからです。

ここからが、このテーマを扱うほとんどの記事が省いている部分です。インサイダーによるインシデントは、中小企業が侵害を受ける最も一般的な経路ではありません。そうではないと言う人がいたら、疑ってかかるべきです。31,000件を超える実際のインシデントに基づくVerizonの2026年版Data Breach Investigations Reportでは、侵害の12%に内部関係者が関与しており、これは前年の18%からの低下だとされています。同レポートの中小企業パネル(従業員1,000人未満の組織を対象)では、侵害のほぼすべてが金銭目的の外部の主体によるものとされています。

では、なぜこれにわざわざ半日をかける価値があるのでしょうか。コストの構造が逆転しているからです。2026年のPonemon InstituteとDTEXによるCost of Insider Risks調査では、インサイダーによるインシデントの封じ込めには平均で67日を要し、コストは過失によるインシデントで約747,000ドル、悪意によるもので742,000ドル、外部者が盗んだ認証情報を使用したケースでは842,000ドルに上るとされています。インサイダーによる事案はフィッシングより発生頻度は低いものの、誰かが気づくまでの期間が長く、実際に持ち出されるのは、その企業の存立基盤そのものであることが多いのです。

なぜ退職が急所となるのか

リスクが、狭く予測可能な期間に集中するからです。20年にわたりインサイダー事案を研究してきたCERT部門である、Carnegie MellonのSoftware Engineering Instituteは、知的財産の窃取事案の分析の中でこう端的に述べています。ほとんどの内部関係者は、組織を離れてから30日以内に知的財産を盗む。この知見は2011年のものであり、古いデータであることは指摘しておく価値があります。それでもこの知見は、それ以降のインサイダーリスク対策の基本原則であり続けており、それ以降に発表されたベンダーのテレメトリーレポートはいずれも、同じ退職前後の期間に活動が集中することを示しています。

この一文だけで、中小企業が購入できるどんな脅威インテリジェンスフィードよりも、実務上役立ちます。つまり、全員を常時監視する必要はないということです。必要なのは、誰がいつ退職するのかを把握し、その日の前後数週間について、適切な少数のシグナルに注目することだけです。

対策を立てる前に、統計の中身を確認する

従業員によるデータ窃取を扱う記事では、決まって3つの数字が登場しますが、そのいずれも、実態を誇張した形で引用されています。これは実務上重要な問題です。従業員の半数がデータを盗んでいると思い込めば、誤った対策を購入し、その対策を行う過程で従業員を不当に扱うことになるからです。

• 「従業員の45%が退職時にデータを持ち出す」。事実ではありますが、これは2020年5月のTessian調査における米国分の数値です。同じ調査の全体の数値は34%、英国の数値は23%でした。この限定条件は、引用されるたびにほぼ毎回省かれています。
• 「従業員の72%が会社のデータを持ち出す」。これは誤った解釈です。Code42の2019年レポートにおける72%とは、情報セキュリティ責任者のうち、それは単なる会社のデータではなく、自分の仕事であり――自分のアイデアでもあるという考え方に同意した人の割合です。これは、人々が「所有権」についてどう感じているかについての調査結果であって、実際に何人がファイルをコピーしたかについてのものではありません。
• 「63%が前職からデータを持ち込んだ」。これには実在する、確認可能な出典があります――2019年10月に公表されたCode42の2019年版Global Data Exposure Reportです。ただし、対象となった母集団には注意が必要です。これは72%のケースと同じ落とし穴で、回答者はセキュリティ責任者1,028人とビジネス上の意思決定者615人であり、従業員全体を代表するサンプルではありません。また、これは人々がデータを持って入ってくるケースを扱ったものであり、あなたが退職時に検知しようとしているリスクとは別種のものです。

最も根拠が確かな数字は、2022年のCyberhaven Labsによるものです。これが確かだと言えるのは、まさに自己申告ではなく観測されたテレメトリーに基づいているからです。機密データを扱う従業員およそ1.4百万人のうち、9.4%が6か月間でデータを持ち出しました。この数字を掲載したブログ記事はその後削除されており、元のレポートはゲート付きダウンロードとしてのみ残っているため、現在最も確認しやすいのは当時の報道です。いずれにせよ、これは古いデータとして扱ってください。DTEXの2023年調査レポートでは、退職者のうち機密の知的財産を持ち出す割合は12%とされています。

ここでもうひとつ、身につけておく価値があるのがCISAのガイダンスです。脅威評価は属性(プロファイル)ではなく行動に基づくべきであり、こうした行為は衝動的に起きることはめったになく、熟慮の末の決断に従うものです。注意すべき人口統計学的なパターンは存在せず、それを探そうとすれば、判断を誤るだけでなく不公正にもなります。

データは実際にどのように流出するか

小規模なWindowsネットワークからデータが流出する経路は、短く、地味なリストに収まります。実務上重要なのは経路そのものではなく、後から見つけられる痕跡をそれが残すかどうかであり――そのいくつかについては、正直なところ、痕跡は残らないというのが答えです。

MITRE ATT&CKの用語では、これらはそれぞれT1052.001(USB経由の持ち出し)、T1567.002(クラウドストレージへの持ち出し――MITRE自身の説明でもDropboxとGoogle Docsが名指しされています)、T1114.003(メール転送ルール)に対応します。USBのケースについてMITREが示す検知分析はUSBデバイスの挿入に続く、大量または機密性の高いファイルへのアクセスとステージングであり――これはまさにEvent 6416とEvent 4663を突き合わせることにほかならず、次のセクションで構築するのもまさにその仕組みです。

監視を始める前に

監査ポリシーを1つでも有効にする前に、まず通知文を作成してください。これは後で片付ければよいコンプライアンス上の細目ではありません。米国の3つの州では、監視を開始する前に義務付けられる法律上の義務であり、これらの州法のいずれも中小企業の雇用主を適用除外としていません。ニューヨーク州では、従業員10人の会社も従業員1万人の会社も、まったく同じように対象となります。

連邦法のベースラインと、その落とし穴

連邦法の土台となっているのが、電子通信プライバシー法(Electronic Communications Privacy Act)です。雇用主にとって重要な役割を果たすのは主に2つの例外です。18 U.S.C. § 2511(2)(a)(i)のプロバイダ例外は、自社の設備における通信の傍受のうち、サービスの提供に付随して必要なもの、またはそのサービスの提供者の権利もしくは財産を保護するために必要なものを対象とします。これとは別に、§ 2511(2)(d)により、連邦法は一方当事者同意を認めています。すなわち通信の当事者の一方が事前に同意を与えていた場合は適法とされます。

実務上の強みは――ときどき耳にするような、単一の書類だけできれいに片付くという話ではないものの、実際に存在します――署名済みの監視確認書が二重の役割を果たすという点です。プロバイダ例外がすでに適用される場面では、連邦法は同意を必須とはしていませんが、同意は§ 2511(2)(d)に基づく2つ目の、独立した根拠であり、両方を備えておくほうが、どちらか一方に頼るよりも堅固な立場になります。そして同じ署名が、ニューヨーク州とデラウェア州が求める確認の要件も同時に満たします。

ただし、これがすべてをカバーするわけではなく、名指しに値するギャップが3つあります。署名だけでは、掲示の義務を果たしたことにはなりません――ニューヨーク州は確認に加えて壁への掲示も求めており、コネチカット州では掲示そのものが必要な通知とされています。プロバイダ例外の範囲は明確な一線というより判例によって形作られてきたものであり、「ノートパソコンは会社の所有物だ」という主張は強力な出発点ではあっても、確定した抗弁ではありません。また、通話を録音する場合は、自社が事業を行う州の盗聴関連法を別途確認してください。いくつかの州では、連邦法のベースラインより厳格に、すべての当事者の同意を必要とします。

EUに従業員がいる場合、答えは逆転する

GDPRのもとでは、職場での監視について実務上用いられる適法根拠は、Article 6(1)(f)に基づく正当な利益であり――同意ではありません。Article 29 Working PartyのOpinion 2/2017は、従業員は自由に同意を与えたり、拒否したり、撤回したりできる立場にはほとんどないとし、同意は職場でのデータ処理の適法根拠になる可能性が極めて低いとしています。これは米国の立場――署名が最も強力な防御となる――とは、まさに正反対です。

正当な利益に依拠するには、文書化された3段階のテスト――具体的な目的、より侵襲性の低い代替手段がない中での真の必要性、そして従業員の権利との比較衡量――をクリアする必要があり、Article 21はすべての従業員に異議を申し立てる権利を与えています。監視が体系的であり、かつ高リスクである可能性が高い場合には、データ保護影響評価が必要とされます。各国の規制当局は一貫して、継続的な従業員監視をこれに該当するものとして扱っています。またArticle 88により、加盟国はより厳格な国内ルールを課すことも認められており、特にドイツ、フランス、オランダはGDPRの基準よりもさらに踏み込んだ規制を設けています。

コストゼロで実現する検知体制

最も一般的なデータ持ち出しの経路を検知するには、Windowsに標準搭載され、コストのかからないグループポリシー設定から始めることができます。以下は、最小の手間で最大のカバー範囲を得られる順序です。

1. Audit Removable Storage――最も価値の高い設定

最初に有効にすべき設定であり、その理由は、Microsoft自身のドキュメントに書かれているにもかかわらず、ほとんど誰も繰り返し言及しない、ある詳細にあります。セキュリティ監査イベントは、オブジェクトのSACLに依存することなく、要求されたすべてのオブジェクトおよびすべての種類のアクセスについて生成されます。

ファイル監査を設定しようとしたことがある方は、もう一度読んでみてください。通常のファイルシステム監査は、対象とするすべてのフォルダにシステムアクセス制御リストを設定するまでは何も機能しません――Microsoftは既定のファイルシステムSACLでは監査イベントは一切生成されないと明言しています。Audit Removable Storageはこれをすべて回避します。有効にするだけで、フォルダごとの作業を一切行うことなく、すべてのマシンで、USBデバイスへの読み書きのたびにEvent 4663が得られます。Microsoftのガイダンスでは、ワークステーション、メンバーサーバー、ドメインコントローラーのいずれにおいても、この設定はSuccessおよびFailureの両方が推奨されており、これはAudit File Systemが「必要な場合のみ」としか評価されていないのとは対照的です。

2. Audit PNP Activity――デバイスが接続されたタイミングを把握する

これはObject AccessではなくDetailed Trackingの下にあり――この小さな違いのせいで、ポリシーツリーを10分ほど探し回る羽目になる人が少なくありません。Windows 10およびServer 2016以降では、「A new external device was recognized by the System」というEvent ID 6416が生成されます。ペイロードにはデバイスインスタンスパス、ベンダーID、ClassNameが含まれます――DiskDriveでフィルタリングすれば、ストレージをキーボードやマウスと区別できます。Microsoftはそのボリュームを通常は少ないと評価しており、あわせて有用なチューニングのヒントも挙げています。Subject Security IDがSYSTEM以外である場合には必ず報告する、というものです。ただし制約がある点に注意してください――6416が記録するのは挿入と有効化であり、取り外しではないため、そのデバイスがどれだけの時間差し込まれていたかはわかりません。

3. Audit Logon――時間外のパターンを捉える

Event ID 4624は、Logon Typeとともに成功したログオンを記録します。キーボードでの対話的ログオンならタイプ2、ネットワーク経由ならタイプ3、RDPならタイプ10、ロック解除ならタイプ7です。Microsoftはこの用途を明示的に推奨しています。就業時間外のアカウント利用を監視する必要がある場合があります。週末に働いたことが一度もないアカウントから、土曜の夜にタイプ10のログオンがあった――これほど安上がりで、かつシグナルの精度が高いアラートを構築する機会は、他にはないでしょう。

4. SACL――ただし、それに見合う場所でのみ

本当に最重要データを保持している2~3個の共有フォルダについては、SACLを追加してAudit File Systemを有効にしてください。1つ知っておく価値のある注意点があります。Microsoftが推奨する監視対象アクセス種別のリストは、書き込み、削除、権限の変更をカバーしていますが――ReadDataはカバーしていません。窃取とはまさに読み取りという形で現れるため、これは意図的に追加してください。Microsoftは全面的な有効化に対しても警告しており、これは正しい指摘です。ファイルサーバー全体にSACLを設定すれば、情報量に押しつぶされて確認をやめてしまうことになり、それはまったくログを取らないことよりも悪い結果につながります。

5. ログサイズを引き上げ、確認作業を実際に予定に組み込む

既定のセキュリティログは、Event 4663が流れ始めるとすぐに上書きされてしまい、証拠をすでに上書きしてしまったログは、統制とは呼べません。まずサイズを引き上げてください。そのうえで、USBイベント、時間外のログオン、新しく作成されたメール転送ルールを確認する月次の予定をカレンダーに繰り返し登録してください。検知とは習慣であって、チェック項目ではありません。誰も読まないログが、これまで誰かを捕まえたことは一度もありません。

無料で導入する価値があるもう1つの対策が、Microsoft SysinternalsスイートのSysmonです。上記のギャップのいくつかを埋めてくれます。Event 3はプロセスに紐づくネットワーク接続を記録します――設定しない限り無効になっています――そしてEvent 22はDNSクエリを記録するため、一般向けファイル共有ドメインへの問い合わせが可視化されます。Event 9は生のディスク読み取りを捉えます。Microsoftによれば、これはファイルアクセス監査ツールを回避するために使われる手法だとされています。日常的に運用する価値があるのは、この3つです。

Sysmonはクリップボードの変更(Event 24)も記録できますが、これを有効にする前にはよく考える必要があります。クリップボードにはパスワード、個人的なメッセージ、他人のデータが含まれており、それを取得することは、ファイルが移動したことを記録するのとは質的に異なる、より侵襲性の高い行為です。もしこれを有効にするのであれば、一般的な説明の中に紛れ込ませるのではなく、監視通知の中で明示的にそのことを述べてください。開示内容は実際に収集しているものと一致していなければならず、そうでなければ通知はその役目を果たしません。

Windowsが把握できない範囲

Windowsは暗号化された通信の中身を見ることができず、この1つの制約が、無料で構築できる体制の限界を規定しています。この点について正直であることは、機能をさらに列挙することよりも重要です。持っていると誤って思い込んでいる統制は、持っていないと自覚している統制よりも始末が悪いからです。

• HTTPSのペイロード。Webメールへのアップロード、個人向けクラウド同期、メッセージングアプリはすべて中身が見えません。接続が発生したことはわかっても、そこを通って何が送られたかはわかりません。
• 発信元を特定できるネットワーク送信の記録。Windows Firewallのログ記録は既定で無効になっており、有効にしたとしても記録されるのは接続タプルであって、どのプロセスやどのユーザーによるものかはわかりません。
• どのファイルがどこへ送られたか。Windowsはファイルの読み取りとネットワーク送信をそれぞれ独立に記録するだけで、両者を関連付けることは一切ありません。この2つを結び付けることこそが、まさにデータ漏えい防止(DLP)製品の存在意義です。
• 画面に向けられたスマートフォンのカメラ。痕跡もなければ、統制手段もなく、それを解決する製品もありません。最も古くからあるデータ持ち出しの経路でありながら、今なお未解決のままです。

インターネット上でよく誤解されている2つのこと

1つ目は、セッション時間です。多くのガイダンスは、誰かがどれだけの時間働いていたかを測るために、ログオンイベント4624とログオフイベント4634を組み合わせることを勧めています。Microsoftもこの用途を文書化していますが、ほとんどの解説記事が省いてしまう警告が添えられています。ログオフイベントは100パーセント信頼できるものではありません。例えば、正規のログオフやシャットダウンを経ずにコンピューターの電源が切られることがあり、この場合ログオフイベントは生成されません。セッションの長さは傾向として眺めるには妥当な指標ですが、それをもとに厳格なアラートを組むと、単にノートパソコンを閉じただけの人物に対しても発報してしまいます。

2つ目は、印刷ログです。PrintServiceの操作ログを有効にすると、何が印刷されたかの記録が得られると一般に説明されています。確かにジョブとともにEvent 307が得られますが――別の設定を変更しない限り、文書名は文字列「Print Document」に置き換えられ、内容がわからなくなります。ログを有効にし、テストページを印刷して、それに頼る前に文書名がどう表示されるかを確認してください。

また、広く出回っているUSBフォレンジックに関する主張が2つあります。抜き差しを記録するというDriverFrameworksのイベントID群と、デバイスのシリアル番号を伝えるというPartition診断イベントです。これらは数多くのブログ記事に登場しますが、Microsoftのドキュメントにはどこにも記載がなく、該当するログは既定では無効になっています。実際に機能する可能性はあります。ただし、自社のハードウェアで検証せずに、それを前提とした対策を組むべきではありません。

専用ツールが役立つとき

専用ツールが役立つのは、無料の体制では本当に知りたい問いに答えられなくなった時点――たいていは、暗号化されたアップロードの中身を見る必要が生じたとき、あるいは生のイベントログを手作業で確認することが現実的ではなくなったときです。以下は、PC10~50台規模を前提にした、率直な比較です。

ほとんどの中小企業を無料の対策だけでは足りない段階へと押し出すのは、検知能力ではなく読みやすさの不足です。Windowsは何千件ものEvent 4663を淡々と記録しますが、それを「この人物が直近の2週間に何をしていたか」という形にまとめる作業は、誰も続けられない手作業になってしまいます。それを担うのが、開示のうえで行う社用端末のアクティビティ監視です――ただしこれが法的にも組織文化の面でも機能するのは、先に述べた開示という前提があってこそです。

何を選ぶにせよ、疑わしい特定の人物だけを狙い撃ちするのではなく、全員に対して同じ水準で適用してください。特定の従業員1人を標的にした秘密の監視こそが、法的リスクの温床であり、それはまた、後になってそれを知った他の9人の同僚からの信頼を失う原因にもなります。

退職時チェックリストと最初の1時間

知的財産の窃取の多くが退職から30日以内に起きることを踏まえると、以下のチェックリストは、これまでのリストに挙げたどのツールよりも価値があります。誰もが「すぐにアクセス権を取り消す」と口にしますが、それが実務上何を意味するのかを書き出している人はほとんどいません。

• アカウントは削除せず、無効化してください。削除すると監査証跡が失われ、後で必要になるかもしれないメールボックスも失われます。
• アクティブなセッションとトークンも取り消してください。パスワードの変更だけでは不十分です。個人のスマートフォンでサインイン済みのセッションは、パスワードを変更しても残り続けます。
• メール転送ルールを確認してください――メールボックスレベルの転送と受信トレイのルールの両方です。Outlook上には表示されないように作成されたルールも存在しうるため、サーバー側で確認してください。
• 監査ログは後回しにせず、今すぐ取得してください。Microsoft 365 Audit(Standard)の既定の保持期間は180日ですが――非推奨のadmin audit searchでは遡れるのは90日分だけであり、保持期間はライセンスによっても異なります。次の四半期にもまだ残っているだろうと期待するのではなく、必要なものはすぐにエクスポートしてください。
• 個人のクラウド同期クライアントをマシンから切断し、どのフォルダが同期されていたかを確認してください。
• 共有の認証情報をローテーションしてください――Wi-Fiのキー、共有の管理者ログイン、個別のログインをまだ用意できていないアカウントなどです。中小企業では、これがリストの中で最も時間のかかる項目であることが多いです。
• ハードウェアを回収してください。個人が保管しているドライブやドングルも含め、何が返却されたかを記録してください。
• 退職者の端末は、2週間ほど手をつけずに保管してください。再構築するのはそれからです。退職の経緯に少しでも波乱があった場合は特にそうしてください。
• 知的財産に関する契約書を手元に用意して、退職面談を行ってください。Carnegie MellonのCERT部門は以前から、退職面談を使って退職者が署名した契約書の内容を改めて確認し、再度同意してもらうことを推奨しています。これには10分ほどしかかかりませんが、このリストの中で唯一、機会ではなく動機に働きかける項目です。

今まさに起きていると思われる場合

まず保全し、次に調査し、最後に行動する――この順番を守ってください。自然な本能に従うと、この3つの順序はすべて逆になってしまうからです。

1. マシンの電源を切らないでください。電源を切るとメモリ上に保持されていた情報がすべて失われ、シャットダウン時のクリーンアップ処理が引き起こされる可能性もあります。代わりにネットワークから切り離し、電源は入れたままにしてください。
2. その端末をあれこれ見て回らないでください。フォルダを開くたびにアクセスのタイムスタンプが書き換えられます――これは後で頼りにすることになる、まさにそのメタデータです。この件が誰かの前に持ち出される可能性があるなら、まずイメージを取得してください。
3. ログが上書きされる前に取得してください。エンドポイントのセキュリティログと、関連するMicrosoft 365の監査検索結果を、すぐにエクスポートしてください。
4. 本人の個人アカウントは絶対に開かないでください。会社のブラウザに保存された認証情報があっても、それは権限を与えるものではなく、それを使ってしまうことこそが、雇用主の強い立場が崩れる瞬間です。
5. 誰かと対決する前に、弁護士に連絡してください。不完全な証拠のまま話し合いの場を持てば、まだ物を消せる立場にある本人に気付かれてしまいます――そしてもし判断が誤っていた場合、あなたは従業員を犯罪で告発したことになります。

ここまでのことに、セキュリティチームは一切必要ありません。必要なのは、何かが起きる前に、地味なやり方をきちんとやり切ると決めておくことだけです。初日に署名される通知、有効化された3つの監査ポリシー、誰かが退職するたびに実行されるチェックリスト、そして実際に確認するために月に1時間を割くこと。この規模の企業におけるインサイダー脅威検知とは、つまりそういうものであり、それは十分に手の届く範囲にあります。

よくある質問