GDPRを契機にデータを守る重要性が高まっている
GDPRの第32条にはデータを守ることが明確に謳われており、その際に「適切なセキュリティレベルで技術的および組織的な対策を実施しなければならない」とある。多くの企業が、GDPRに対応するために多層防御などの対策を行い、安全性を担保することに努めているだろう。とはいえさまざまな対策を行っても、攻撃者からの攻撃も高度化しており情報漏洩のリスクをゼロにすることはできない。
実際、2018年6月にはフランスのホテル予約サイト「ファストブッキング」のサーバーに不正アクセスがあり、国内計43ホテルに予約した約12万4900件の個人情報が流出するインシデントが発生したことで、GDPRに違反する可能性が指摘された。
その他にも、データをしっかり守らなければならない脅威は多数存在する。その一つがランサムウェアの攻撃だ。アクロニス・ジャパン セールスエンジニア マネージャの佐藤匡史氏は、「2018年に入りランサムウェアの攻撃が減っているとも言われています。しかしこれは、ばらまき型攻撃が減っただけで標的型は減っていません。さらに次世代のランサムウェアは、GDPRの対象となるようなデータを狙っています。GDPRの制裁金が高額なのでランサムウェアの身の代金が安く見え、払ってしまうこともあるようです」と指摘する。
アクロニス・ジャパン セールスエンジニア マネージャ 佐藤 匡史氏
GDPR対象のデータが盗られたことが公になると、その企業の信用は大きく失墜するだろう。さらに感染先のコンピューターのあらゆるデータを破壊するワイパー型マルウェアも増えており、より一層データを安全に守ることの重要性は高まっている。
もう一つ佐藤氏が指摘するのが、データ改ざんへの対応の必要性だ。日本政府でも公文書の改ざんがあったことは記憶に新しい。ずさんな文書管理が大きな問題となり、結果的に決裁文書の管理徹底を閣僚会議で明確化するに至った。その中では公文書の電子化による管理を行うことになっている。「電子化すれば、データは安全なのでしょうか、それで改ざんされなくなるのでしょうか」と佐藤氏は疑問を呈する。
実際政府機関よりも、日本の民間企業では文書の電子化が進んでいる。一方で企業のファイルサーバーが「ゴミ箱化」している問題もある。情報が重複し使われてないデータも大量に蓄積されているのだ。そのようなファイルサーバーを日々監視している企業も少ない。「ファイルサーバーから何かデータがなくなっても、誰も気付かないでしょう」と佐藤氏。このような管理下では、データが改ざんされても当然ながら分からない。
また電子化を進めているはずの大手製造業などでも、検証結果データを意図的に改ざんした事件も発生しており、これも大きな問題となっている。つまり、文書を電子化するだけではデータの改ざんを防ぐことはできないのだ。
