【ITニュース解説】役職者でも承認要求による犯行が後を絶たない――内部犯行が“見えない”3つの理由と明日からできる対策

システムエンジニアを目指す皆さんにとって、企業や組織のセキュリティは非常に重要なテーマだ。外部からのサイバー攻撃が日々進化していることはよく知られているが、実は組織内部からの脅威、いわゆる「内部犯行」も深刻な問題を引き起こしている。日本サイバーディフェンスの最高技術責任者である名和利男氏の講演「企業利益を蝕むインサイダー脅威 - 不可視化する最新手口」では、この見えにくい内部犯行の実態と対策について詳しく解説された。

内部犯行と聞くと、金銭目的の犯罪を想像しがちだが、その動機は近年多様化している。もちろん金銭欲は根強い要因の一つだが、「会社への不満」や「自分の能力を認められたいという承認欲求」、さらには「会社が間違っているという正義感」といった心理的な要因が引き金となるケースも少なくない。特に役職を持つ立場の人であっても、システム承認要求などを悪用して不正行為を行う事例が後を絶たない。このような内部犯行は、企業の機密情報窃取に留まらず、システムの破壊やデータ改ざん、サービス停止など、企業活動に計り知れない損害をもたらすことがある。正規の権限を持つ者が内部から行うため、その被害は外部からの攻撃よりも甚大になりやすい。

では、なぜこのような内部犯行が企業にとって“見えにくい”のだろうか。講演ではその理由が三つ挙げられている。一つ目は「行動の不可視化」だ。内部犯行者は、システムやデータにアクセスする際に、通常業務で与えられた正規の権限を利用する。そのため、その行動が通常の業務と見分けがつきにくく、異常なアクセスとして検知されにくいのだ。監視カメラや入退室ログだけでは内部の具体的な行動までは把握しにくい。リモートワークの普及で、従業員が会社の敷地外からシステムにアクセスする機会が増え、個々の行動監視がより一層困難になっている。

二つ目の理由は「心理の不可視化」にある。人は他人の心の中を完全に理解することはできない。ある従業員がなぜ不正行為に走ったのか、その根底にある不満や承認欲求、正義感といった心理的な動機を事前に察知することは極めて難しい。組織内には「まさかあの人がそんなことをするはずがない」という心理的なバイアスも存在し、疑いの目を向けにくい雰囲気があることも、内部犯行の発見を遅らせる要因となる。従業員自身の「自分は悪くない」という歪んだ正当化の心理も、問題の表面化を阻害することがある。

そして三つ目の理由は「攻撃の巧妙化」だ。現代の内部犯行は、単に情報を持ち出すだけではない。不正行為の痕跡を隠すために、システムに残るログを改ざんしたり、消去したりするケースがある。また、直接自分が不正アクセスするのではなく、他の従業員のアカウントを盗んだり、騙したりして「踏み台」として利用する手口も存在する。さらに、外部の共犯者と連携したり、ソーシャルエンジニアリングと呼ばれる人を騙す技術を悪用したりすることもある。最近では、AIや自動化ツールを駆使して、効率的かつ大量に情報を窃取するような、より高度で目に見えにくい手法も登場しており、企業の防御をすり抜ける巧妙さが特徴となっている。

これらの見えにくい内部犯行に対抗するためには、技術的な対策と組織的な対策の両面からアプローチする必要がある。システムエンジニアを目指す皆さんにとって、これらの対策は将来の業務に直結する重要な知識となるだろう。

まず技術的な対策としては、特権ID管理の徹底が挙げられる。システム管理者など、システムに対して非常に強い権限を持つアカウント（特権ID）は、不正利用された場合の被害が大きいため、厳重に管理する必要がある。必要最低限の権限だけを付与し、定期的にその権限を見直す「最小権限の原則」を適用し、多要素認証などでアクセスを強化することが不可欠だ。次に、ログ管理の強化も重要である。誰が、いつ、どこから、どのような操作をしたかという詳細な記録をシステムに残し、さらにそのログ自体が改ざんされないように保護する必要がある。ログは不正行為の痕跡を見つけるための重要な手がかりだからだ。さらに、**行動分析（UEBA: User and Entity Behavior Analytics）**と呼ばれる技術も有効だ。これは、AIや機械学習を活用して、従業員の通常のシステム利用パターンを学習し、そこから逸脱する異常な行動を自動的に検知する仕組みである。これにより、正規の権限を持つ者が不正な操作を行っても、その異常を早期に発見できる可能性が高まる。また、**データ保護（DLP: Data Loss Prevention）**システムを導入することで、企業の機密情報が外部に持ち出されることを自動的に防ぐこともできる。特定のキーワードを含むファイルや、定義された機密情報が社外へ送信されそうになった際に、システムが自動的にブロックしたり、警告を発したりする。最後に、**SIEM（Security Information and Event Management）やSOAR（Security Orchestration, Automation and Response）**といったツールを導入し、様々なシステムのログを一元的に収集・分析し、セキュリティイベントへの対応を自動化・効率化することも現代のセキュリティ対策では不可欠だ。

一方、人的・組織的な対策も同様に重要である。一つは、従業員への継続的なセキュリティ教育だ。倫理意識を高め、企業のセキュリティポリシーを徹底させ、内部通報制度の存在とその重要性を周知することで、不正行為を未然に防ぎ、問題が発覚した場合に早期に通報される環境を整える。また、ハラスメント対策や心理的安全性の確保も間接的だが極めて有効な対策となる。従業員が安心して働ける環境を整え、不満や問題を抱え込まずに相談できる文化を作ることで、内部犯行の動機となる心理的要因を未然に取り除くことができる。さらに、職務のローテーションや多重承認体制の導入も有効だ。特定の個人に権限が集中しないよう、定期的な担当者変更や、重要な業務・システム操作には複数の承認を必須とする多重承認体制を導入することで、一人の従業員による不正行為を困難にする。そして、退職者のアカウント管理も忘れてはならない。従業員が退職する際には、関連するシステムアカウントやアクセス権限を速やかに停止・剥奪し、退職後の情報漏洩リスクを排除することが極めて重要となる。

内部犯行は、外部からの攻撃とは異なる複雑な側面を持つが、システムエンジニアとしてシステムを設計し、運用する上では、常にその可能性を意識し、これらの対策を講じる必要がある。見えにくい脅威だからこそ、多角的な視点からセキュリティを強化し、企業を守ることが求められる。