【ITニュース解説】Online Translation Services: Top 10 Security Risks

オンライン翻訳サービスは、文書を迅速かつ手頃な価格で翻訳できる非常に便利なツールである。しかし、この便利さの裏には、企業がフィッシング詐欺やセキュリティ侵害のリスクにさらされる可能性があるという深刻な問題が潜んでいる。企業がオンライン翻訳ツール、プロの翻訳者、またはバーチャル翻訳機関を利用する際、サイバーセキュリティリスクは常に考慮すべき重要な要素となる。実際、ある企業では従業員が無料のオンライン翻訳ツールを使用したことが原因で、機密データが漏洩した事例がある。迅速な文書翻訳が求められる状況ではセキュリティが後回しになりがちだが、データ漏洩やサイバーセキュリティ侵害の原因となることは避けなければならない。オンライン翻訳サービスにテキストを貼り付けたり、ファイルをアップロードしたりする前に、以下の10の主要なセキュリティリスクを理解しておくべきである。

まず、機械翻訳エンジンにデータが「リターン」されるオンライン翻訳ツールがある。GoogleやMicrosoftなどが提供する無料の機械翻訳ツールは広く利用されているが、これらの無料サービスを利用すると、入力したデータが企業によって再利用、共有、またはインデックス化される権利を与えてしまう場合がある。これを「データリターン」と呼ぶ。もし企業が機械翻訳を利用するソフトウェア製品を使用する場合、開発者が「機械翻訳エンジンにデータをリターンしない」という明確なポリシーを持っているかを確認する必要がある。このデータリターンが、前述の企業が機密データを検索エンジンの結果として公開してしまった原因の一つである。

次に、セキュリティ対策が不十分な翻訳会社がリスクとなる。高品質な翻訳を短時間で提供するという謳い文句は魅力的だが、文書やデータを送信する前に、その翻訳会社のセキュリティ体制を徹底的に評価しなければならない。翻訳会社にデータを送るということは、その会社のセキュリティ対策、あるいはその欠如に自社のデータを委ねることを意味する。翻訳会社はHIPAA（医療情報に関する規制）などの規制に準拠していなかったり、第三者によるセキュリティ監査を受けていなかったりすることが多い。また、データを保管するために低コストのホスティングプロバイダーを利用している場合が多く、従業員のオンラインセキュリティトレーニングを徹底する担当者を置いている企業も少ない傾向にある。結果として、翻訳会社がユーザーIDやパスワードを共有している可能性があり、フィッシング詐欺のリスクが高まり、データが侵害される恐れがある。

三つ目に、セキュリティトレーニングを受けていないフリーランスの人間翻訳者もリスク源である。フリーランスの翻訳者に依頼する場合、彼らが企業のデータセキュリティポリシーの範囲内で作業していることを確認する必要がある。フリーランスの翻訳者は、多くの場合、セキュリティポリシーを導入するためのトレーニングや準備が最も不足している層であり、追加のリスクをもたらす。翻訳会社と同様に、彼らも重要な法規制への準拠について第三者機関による監査や認定を受けていることは稀である。

四つ目のリスクは、アクセス権限管理が欠如しているオンライン翻訳サービスだ。セキュアな翻訳ソリューションを選択する際は、エンタープライズレベルのセキュリティに加え、翻訳活動全体を安全な環境内で管理できるツールを備えていることが重要である。これによりリスクを軽減できる。そのため、選択する翻訳ソリューションには、役割と権限の管理機能が含まれているべきだ。もしソフトウェアソリューションが、誰が特定の翻訳データや資産にアクセスできるか、できないかを企業が制御することを許可しない場合、それは重大なセキュリティ脅威となる。

五つ目のリスクは、暗号化が施されていない、または古い暗号化プロトコルが使用されていることだ。アクセス権限管理の欠如だけでなく、多くのオンライン翻訳サービスやソリューションには暗号化のセキュリティ対策が不足している。特に無料の翻訳ツールでは、最新の暗号化プロトコルや、保存中、使用中、転送中のファイル暗号化ストレージが提供されていないことが多い。これは、ファイルをアップロードしたりテキストを入力したりする際に、データが露出する可能性があり、企業のデータが侵害されるリスクがあるため危険である。

六つ目のリスクは、多要素認証（MFA）が導入されていないことだ。クラウドベースの翻訳サービスやアプリを利用する場合、そのアプリケーションがMFAをサポートしていることを確認する必要がある。MFAを提供するソフトウェアは、そうでないものに比べてはるかに安全に利用できる。MFAでは、ログイン時に少なくとも二つの認証方法が必要となる。例えば、メールや携帯電話のSMS、または認証アプリにコードが送信されるといった仕組みである。認証アプリは最も安全な選択肢であり、携帯電話の認証アプリにコードが送信される場合、誰かがそのコードを傍受する可能性がなく、フィッシング詐欺から安全である。SMSとは異なり、認証アプリは携帯電話の電波がなくても機能するため、多くの企業がメール認証から認証アプリへの移行を進めている。ソフトウェアは常にMFAを提供すべきである。

七つ目のリスクは、アイデンティティおよびアクセス管理（IAM）が不足していることだ。企業がサイバーリスク管理戦略を持っている場合、通常、アイデンティティ管理ツールと互換性のあるアプリケーションを好む傾向にある。シングルサインオン（SSO）はその一例である。IAMの利点には、ユーザー認証情報の侵害に対する保護、誰がアクセス権を持つかを組織が集中管理できる、安全でないパスワード管理の排除、パスワード有効期限の不要化、ITサポート要求の削減、認証データのオフプレミス化などが挙げられる。もし企業の「リスク軽減戦略」に合致しない翻訳アプリケーションを使用した場合、企業ポリシーに反する可能性が生じる。

八つ目のリスクは、法規制への非準拠である。厳格なプライバシー規制が適用される業界の企業にとって、法規制への準拠は極めて重要だ。例えば、医療提供者が機密性の高い医療翻訳のためにHIPAAに準拠していないオンライン翻訳サービスを利用した場合、患者情報はHIPAA（医療保険の携行性と責任に関する法律）によって保護される必要があるため、深刻な法的リスクを招く。医療分野以外の企業でも、GDPR（一般データ保護規則）やPCI DSS（決済カード業界データセキュリティ基準）などの日常的な法規制に準拠していないオンライン翻訳サービスを利用することで、企業の信用を損なう恐れがある。

九つ目のリスクは、第三者監査が行われていないことだ。企業が新しいオンライン翻訳サービスを評価する際、侵入テスト評価やコンプライアンス監査の証明は一般的な要件となる。翻訳会社に対し、これらの証明を求めるべきだ。翻訳会社の監査は常に独立した第三者によって実施されるべきであり、もし会社がこれらの記録を提供できない場合、エンタープライズレベルのセキュリティやコンプライアンスが本当に存在するという確かな証拠はないことになる。

最後のリスクは、活動ログがないことだ。活動ログを含むオンライン翻訳ソリューションを選択すべきである。これにより、企業は翻訳ソフトウェア内で誰が活動しているか、どのような行動を取っているか、そしていつそれらを実行しているかを確認できる。この透明性は、不正なユーザーアクセスを特定するのに役立つ。

まとめると、オンライン翻訳サービスは迅速で便利に見えるが、データ露出から規制非準拠に至るまで、深刻なサイバーセキュリティリスクを伴う。機械翻訳ツール、翻訳会社、またはフリーランスの翻訳者のいずれに頼る場合でも、セキュリティ対策の甘さは企業の機密情報を危険にさらす可能性がある。最も安全な選択肢は、堅固な暗号化、アクセス制御、多要素認証、法規制への準拠、そして監査機能を備えたセキュアなエンタープライズグレードの翻訳ソリューションを利用し、データを保護しつつ迅速な結果を得ることである。