英国の情報機関は、国内で最も機密性の高い秘密を安全に守る役割を担っている。だが、自らが管理するストレージデバイス数千台の所在をいまだに把握できておらず、その一部には最高機密情報が含まれている可能性がある。
英国の政府通信本部（GCHQ）は、機関内での使用に登録されたリムーバブルストレージデバイスに何が起きたのかを、長年にわたって特定できずにいる。 Politicoおよび The Registerによると、行方不明のメディアには機密性の高い情報資料が含まれている可能性があり、同機関が機密情報をどのように追跡し、保護しているのかに懸念が生じている。
何年にもわたる精査を受けても、GCHQはいまだにデバイスの正確な所在を明らかにできていない。この状況は、あらゆるセキュリティチームに厄介な疑問を突き付ける。組織は、機密情報がどこに保存されているのかを確実に追跡できない場合、どうすればそれを守れるのだろうか。
GCHQの行方不明デバイスがセキュリティ上の懸念を招く理由
The Registerによると、同機関は紛失したドライブの数を「非常に多い」と表現している。しかし実数はいまだ不明で、同誌によれば数千台に上るという。
GCHQの広報担当者はThe Registerに対し、問題の発端は、使用登録されたリムーバブルメディアを追跡するには堅牢性が不十分だった以前の管理システムにあると説明した。その結果、同機関は発行したメディアデバイスを信頼性の高い形で把握できなくなっている。
調査権限委員のBrian Leveson氏によると、デバイスには機密情報が含まれているという。Leveson氏はPoliticoの報道で、「機密データを保持している可能性のあるリムーバブルメディアに何が起きたのか、私が初めてGCHQに問題提起してから何年もたつのに、同機関はいまだに私に説明できない」と述べた。
GCHQは、可能な限り多くのデバイスを発見するための追加作業を開始しており、2026年末までに自動資産追跡システムを導入する予定だと説明している。それまでには、行方不明のメディアのより正確な台数を把握できる見込みだ。
ストレージデバイスがセキュリティリスクをもたらす理由
リムーバブルストレージデバイスは、機密情報を保護するよう設計されたシステムやネットワークの外へ持ち出せるため、セキュリティリスクを生む。オンプレミスの安全な機関サーバーに保存されたデータとは異なり、USBなどのポータブルデータメディアは、置き忘れたり盗まれたりするほか、権限のないコンピューターに接続される可能性がある。
重要なのは、リスクがデバイスそのものの紛失に限られない点だ。行方不明のドライブに情報機関の記録、監視資料、個人情報が含まれていれば、その内容によって機密情報の情報源や、調査対象者に関する情報が明らかになる可能性がある。
暗号化やPIN保護は重要な安全対策だが、それでも行方不明のデバイスを無害にはできない。これらはリスクを低減し、不正アクセスを防ぐ可能性を高めるものの、特にデータのコピーが少ない場合、内容の安全を保証するわけではない。だからこそ、確実な追跡が重要になる。追跡できなければ、組織はデバイスが施設内で置き忘れられたのか、管理下から持ち出されたのか、それとも悪意ある者の手に渡ったのかを把握できない可能性がある。
情報機関や、顧客の機密情報を扱う組織にとって、データストレージデバイスは、それ自体の性質だけでなく、何を内包しているかという観点からも扱うべきだ。
GCHQの行方不明デバイスからセキュリティチームが学べること
GCHQの困難は、セキュリティ上の根本的な問題を浮き彫りにしている。組織は、機密情報を保存しているデバイスの所在を把握できなければ、その情報を確実に守ることはできない。
セキュリティチームにとって、この事案は次の重要な実践事項を改めて示している。
- デバイスの完全なインベントリを維持する。リムーバブルストレージデバイスごとに、割り当てられた所有者、場所、保存を許可された情報の種類を記録する。
- デバイスの移動を追跡する。ポータブルストレージデバイスの発行、移管、返却、廃棄の際に、従業員が記録を残すよう義務付ける。
- 機密情報を暗号化する。デバイスが行方不明になった場合の不正アクセスのリスクを抑えるため、適切な暗号化とアクセス制御を利用する。
- リムーバブルメディアを制限する。USBストレージへのアクセスを、承認済みデバイスと正当な業務上の必要性がある従業員に限定する。
- インベントリを定期的に監査する。資産記録と実際のデバイスを照合し、長期化する問題になる前に不一致を調査する。
- デバイス紛失時の手順を確立する。従業員による紛失デバイスの報告方法、セキュリティチームによる潜在的な情報漏えいの評価方法、インシデントのエスカレーションが必要となる条件を定める。
これらの対策は、政府機関、医療機関、金融機関、機密性の高い顧客情報を扱う企業にとって特に重要だ。
GCHQの経験は、高度なセキュリティ組織であっても、基本的な資産管理の統制が不十分であれば重大なリスクに直面し得ることを示している。
機密情報の紛失や漏えいを防ぐための詳しいガイダンスとして、eSecurity Planetの データ損失防止のベストプラクティス12選をはじめ、暗号化、アクセス制御、定期的なセキュリティ監査についての情報を確認してほしい。