導入の経緯

通信事業者の責務として情報漏洩対策のさらなる強化を

「国内で情報漏洩事件が世間を騒がし始めていましたが、弊社としても全社規模で情報漏洩対策をさらに強化しなければいけないと考えていました」－KDDI 情報システム本部　プラットフォームサービス部 OA・ネットワークグループ 課長補佐 上谷 真史氏は、CWATの導入の経緯についてこのように語ります。

KDDIは、社会性・公共性の高い通信事業者として、安心で安全なサービスの提供を責務の一つと考えています。それは、顧客情報の保護など情報漏洩対策を全社規模の重要な課題として位置付けていることからも伺い知ることができます。2004年4月、個人情報保護法の全面施行を前にセキュリティレベルのさらなる向上を目指し、新たな情報漏洩対策システムを構築するためソフトフェアの検討を開始しました。

選定のポイント

抑止、記録、集中管理、すべてをクリアした唯一のソフトウェア

KDDIでは、ソフトウェアを選択するため、一貫した下記の4つのポリシーを掲げています。

1. (1) クライアントPCからのデータ書き出しの制御
2. (2) クライアントPCへのデバイス接続の制御
3. (3) ログの記録
4. (4) ひとつの管理サーバでの集中管理

全社規模で万全な情報漏洩対策を講じようとするとき、(1)、(2) に関しては基本機能で、(3)、(4)を行えることが重要になってきます。これらを念頭に選定期間中さまざまな製品の情報を収集。競合製品との比較の結果CWATを選択するに至ったのです。導入に携わった同グループ課長補佐 料崎和夫氏は、選定理由を次のように語ります。その当時でもデータの書き出しやデバイス接続の制御を実現できる製品は多くありました。しかし、弊社規模の集中管理が可能なソフトウェアは他にはなく、この4つすべてをクリアできるものはCWATだけだったのです」。

また、ログを記録できるというポイントは、セキュリティに対してネガティブなイメージを持っていた社員の認識に変化をもたらしました。万が一事件が起きたとしても、ログがあれば何も起こしていないという自らの身の潔白を証明できます。このような考え方は、CWATを各部署にスムーズに浸透させるひとつの要因にもなりました。

システム概要

全社規模での導入。ひとつの管理サーバで集中管理を行う

現在、そのシステムは通信事業者としての特長を活かしたネットワーク環境をもとに構築されています。社内ネットワークの回りに、管理サーバのOM（オーガナイゼーションモニタ）がひとつ、3つの拠点に存在する約40台のDM（デリバリマネージャ）、そして、全社規模のクライアントPCがそれぞれ存在しているイメージです。

システム構成について料崎氏は、「事業の拡大にあわせてクライアントPCは増加していきますが、管理サーバが複数あるとそのつど振り分ける作業が発生します。それは避けたかったので、1台の管理サーバで集中管理できるという点にはこだわりました」と語ります。

ワークフローと連携させたシステムで業務と情報漏洩対策の両立を図る

KDDIでは、現在に至るまでカスタマイズを含め3つのフェーズに分けてCWATを導入しています。
まず、2005年2月に約150台によるフィールドテストを実施した後、フェーズ1として2005年7月までに、顧客情報を扱う部署へ主に導入。データを持ち出させないことに重点を置いてクライアントPCからの書き出しやデバイス接続を制御し、情報漏洩対策の地盤を固めました。当初導入したのは初期バージョンのCWATで、新しい製品ゆえの問題が生じることもありました。しかし、インテリジェント ウェイブの開発支援体制によって修正したバージョンが迅速に提供され、システム構築はスムーズに進行していったのです。
そして、2005年12月に開始したフェーズ2で、全社規模のクライアントPCへとCWATを拡大させていきました。そこでは、ワークフローのシステムと連携して、通常時は許されていないデータの書き出しの一時取得を許可するシステムを構築し、書き出した行為自体も所属長にフィードバックされるという業務フローを実現しています。「Webを介してなるべく簡単に手続きがとれるようにして、申請した翌日にはデータの書き出し許可がおりるようになっています。ただ、誰もが分け隔てなくできるということではありません。しっかりと確認した上で、然るべきルートを通ってデータを書き出すことができるのです。そのような環境を構築することで、業務への支障を最低限にしながらセキュリティレベルを向上させています」と、上谷氏はシステム構築を説明しています。単純な情報漏洩の抑止から、業務と情報漏洩対策の両立へとシステムは進化しているのです。

導入効果

セキュリティに対する意識レベルの向上と業務の見直しを実現

「情報漏洩対策を施した全社規模のクライアントPCを集中管理することは、会社として万全な対策を行っていることの証明になっています」導入のメリットに関して、料崎氏はこのように語ります。選定のポイントに掲げた4つすべてをクリアしたことはもちろん、実際の導入効果はそれ以上のものももたらしています。ひとつは、社内のセキュリティに対する意識レベルの向上です。「クライアントPCを立ち上げた時のポップアップ画面に、CWATが作動していることを表示する機能で、社員にセキュリティ製品が導入されていることを認識させています。それは、情報漏洩対策に対する啓蒙にもなっているのです」と上谷氏は語っています。
そして、もうひとつは業務の見直しです。無駄なファイルの持ち出しを抑止することで、必要がないのに行われていた業務の淘汰にも役立っています。

現在、KDDIは2006年12月より始まっているCWAT導入のフェーズ3を進行中。事業の拡大に合わせて増えていくクライアントPCの台数に応じて、導入するCWATの数を増やしています。それに加えて、一時許可を得てクライアントPCから書き出したデータ自体に顧客情報が含まれているかをチェックできるシステムも構築。さらなるセキュリティレベルの向上を目指しています。全社規模で情報漏洩対策に積極的に取り組んでいるKDDI。日々進化しているそのセキュリティをCWATは支え続けています。

協力パートナー：三菱電機インフォメーションテクノロジー株式会社