S08_Microsoft 365 E5 Compliance による内部不正対策の実践 [Microsoft Japan Digital Days]
•
2 likes•1,869 views
日本マイクロソフト株式会社 クラウド＆ソリューション事業本部 サイバー セキュリティ＆コンプライアンス統括本部 コンプライアンス技術営業本部 小野寺 真司 リモートワークが普及し、他者の目を意識する機会が減った結果、意図的・偶発的な内部不正事案が増加しています。 本セッションでは Microsoft 365 E5 Compliance による内部不正対策についてご紹介いたします。 【Microsoft Japan Digital Daysについて】 Microsoft Japan Digital Days は、お客様が競争力を高め、市場の変化に迅速に対応し、より多くのことを達成することを目的とした、日本マイクロソフトがお届けする最大級のデジタル イベントです。4 日間にわたる本イベントでは、一人一人の生産性や想像力を高め、クラウド時代の組織をデザインするモダンワークの最新事例や、変化の波をうまく乗り切り、企業の持続的な発展に必要なビジネスレジリエンス経営を支えるテクノロジの最新機能および、企業の競争優位性に欠かせないクラウド戦略のビジョンなどデジタル時代に必要な情報をお届けいたしました。（2021年10月11日～14日開催）
Recommended
Recommended
More Related Content
What's hot
What's hot (20)
Similar to S08_Microsoft 365 E5 Compliance による内部不正対策の実践 [Microsoft Japan Digital Days]
Similar to S08_Microsoft 365 E5 Compliance による内部不正対策の実践 [Microsoft Japan Digital Days] (20)
More from 日本マイクロソフト株式会社
More from 日本マイクロソフト株式会社 (20)
Recently uploaded
Recently uploaded (10)
S08_Microsoft 365 E5 Compliance による内部不正対策の実践 [Microsoft Japan Digital Days]
- 1. Microsoft Japan Digital Days *本資料の内容 (添付文書、リンク先などを含む) は Microsoft Japan Digital Days における公開日時点のものであり、予告なく変更される場合があります。 #MSDD2021 Microsoft 365 E5 Compliance による 内部不正対策の実践 日本マイクロソフト株式会社 クラウド & ソリューション事業本部 サイバー セキュリティ＆コンプライアンス統括本部 コンプライアンス技術営業本部 小野寺 真司 # S08
- 2. Agenda Insider Risk Management 組織の秘密情報漏洩リスク ユーザー / デバイス アクティビティ監視の仕組み リスクの高いユーザー アクティビティの調査と対処
- 3. Microsoft Japan Digital Days Insider Risk Management 組織の秘密情報漏洩リスク
- 4. 90% 組織が“インサイダー リスク”に対し て 脆弱だと感じている 59% 従業員が組織をやめる際に 機密情報を持参している 92% インサイダー リスクは事前に退職・ 降格・対立などネガティブな アクションが行われていた Deloitte Metastudy 2016 Carnegie Mellon CERT
- 5. 退職予定者による企業の秘密情報漏洩リスク 退職予定者のリスク行動監視の必要性 ・企業の秘密情報は内部からも漏洩する恐れがあり、 その中でも退職者によるものが非常に多い ・退職予定者による企業の秘密情報漏洩に伴うリスク - 競合他社への企業秘密の技術情報の 漏洩による自社の競争力の失墜 - 企業秘密の営業情報の漏洩による 自社ブランドイメージや顧客への信頼の失墜 ・退職予定者の企業の秘密情報への接近や 持ち出し行為のリスク行動の監視・把握が必要 ・研究開発情報 (実験データ、試作品情報等) ・製造関連情報 (設計図、製法、製品テストデータ、製造ノウハウ、 工場設備・レイアウトなど) 秘密情報-技術情報の例 ・顧客情報 (顧客リスト、クレーム情報、顧客別製品等情報) ・市場関連情報 (市場分析情報、競合先分析情報)、 ・価格情報 (仕入れ値、製品価格、利益率等) ・取引先情報 ・接客マニュアル/販売マニュアル 秘密情報-営業情報の例 秘密情報や その置き場所 に接近 退職予定者 大量の ダウンロード メールや USB デバイスによる 持ち出し https://www.meti.go.jp/policy/economy/chizai/chit eki/pdf/1706blueppt.pdf
- 6. 退職予定者による企業の秘密情報漏洩リスク 退職予定者による企業の秘密情報の持ち出し事例 時期 動機 概要 2015年4月 転職先での利益取得 元社員が、競合会社に転職する際、営業秘密である機械の図面データを 不正に持ち出した。 2015年2月 転職先での利益取得 元社員が営業秘密である情報を不正に取得し自分のハード ディスクに複製した。 退職後は海外企業に転職していた。 2015年1月 転職先で役立てるため 元社員が、販売戦略に関する営業秘密を不正に取得し た。 2014年3月 処遇の不満、金銭取得 業務提携先の社員が機密情報を不正に持ち出し転職先の海外企業に提供。 「内部不正による 情報セキュリティインシデント実態調査 －調査報告書－」 独立行政法人 情報処理推進機構（IPA）より引用 https://www.ipa.go.jp/security/fy27/reports/insider/ https://www.ipa.go.jp/files/000051140.pdf
- 7. Microsoft Japan Digital Days Insider Risk Management ユーザー / デバイス アクティビティ監視の仕組み
- 8. Insider Risk Management 8 • 機密情報の持ち出し、共有、印刷、USB への書き出しなど 情報漏えいが疑われる操作を記録し、行動規約違反を検出 • 発生したアラートはケース化しコンプライアンス担当者間で 共有対応できます。 8 秘密情報や その置き場所 に接近 大量の ダウンロード メールや USB デバイスによる 持ち出し 内部不正者
- 9. A さん Office 365 の監査ログ リスク スコア 75 リスク スコア 50 リスク スコア 20 「トリガー」 により A さんの分析開始 アラート！ デバイスの監査ログ Insider Risk Management 営業秘密情報を USB にコピーをした 個人情報を自分のアドレスに転送した 端末上で 100 個のファイルを削除した 「インジケーター」を基に リスク スコアリング STEP 1 : 検知 Microsoft Cloud App Security 異常検出ポリシーアラート Insider Risk Management – 動作概要
- 10. リスクスコアリングの調査・分析対象となるアクティビティ (ポリシー インジケーター) Office インジケーター (Office 365 上の監視アクティビティ) ・組織外のユーザーとの SharePoint ファイルの共有 ・組織外のユーザーとの SharePoint フォルダーの共有 ・組織外のユーザーとの SharePoint サイトの共有 ・SharePoint からのコンテンツのダウンロード ・組織外のユーザーを優先度の高い SharePoint サイトに追加 ・組織内のユーザーを優先度の高い SharePoint サイトに追加する ・SharePoint ファイルに適用される秘密度ラベルのダウングレード ・SharePoint ファイルから秘密度ラベルを削除する ・SharePoint サイトから秘密度ラベルを削除する ・機密性/優先度の高い SharePoint ファイルへのアクセス ・機密性/優先度の高い SharePoint リソースへのアクセスを組織外の ユーザーに許可 ・機密性/優先度の高い SharePoint リソースへのアクセス権の要求 ・SharePoint ファイルの削除 ・第1段階のごみ箱からの SharePoint フォルダーの削除 ・第2段階のごみ箱からの SharePoint フォルダーの削除 ・添付ファイル付きのメールを組織外のユーザーに送信する ・Teams からのコンテンツのダウンロード ・機密情報の種類を含む Teams メッセージの送信 ・組織外のユーザーを Teams の非公開チャネルに追加 ・組織外のユーザーを Teams に追加 ・Teams プライベートチャネルで組織外のユーザーにファイルリンクを共有 ・Teams プライベートチャネルで組織外のユーザーとフォルダーリンクを共有 ・組織外のユーザーへの Teams チャット上でのファイルリンクの共有 デバイス インジケーター (デバイス上の監視アクティビティ) ・USB デバイスへのファイルコピー ・USB デバイスの接続 ・個人用クラウドストレージへのファイルアップロード ・ファイルの印刷 ・ネットワーク共有へのファイルコピー ・3rd Party サービス (※) からのコンテンツダウンロード ・未許可ドメイン (※) からのコンテンツダウンロード ・ファイル名の変更 ・ファイルの削除 ・隠しファイルの作成 ・デバイス上の機密ファイルへのアクセス ・機密性/優先度の高いファイルのクリップボードへのコピー ・機密性/優先度の高いファイルの移動 ・ファイルのアーカイブ Office 365 Windows 10 を対象に 監視を有効化する オンボーディング設定が必要 10 Microsoft Cloud App Security インジケーター (異常検出ポリシーのアラート) ・接続されたクラウド アプリからのコンテンツの異常な大量ダウンロード ・接続されたクラウド アプリからのコンテンツの異常な大量共有 ・接続されたクラウド アプリ上での匿名 IP アドレス アクティビティ ・接続されたクラウド アプリ上での雇用終了後のアクティビティ ・接続されたクラウド アプリでの複数回のログイン失敗 Cloud App Security (※) 個別設定にて 3rd Party サービスや未許可ドメインの定義を実施
- 11. ポリシー インジケーターの監視/分析期間 トリガー イベント発生後の Insider Risk Management ポリシーによるユーザー アクティビティ分析期間を指定可能 アクティブ化ウィンドウ ・トリガー イベント発生時点からユーザー アクティビティの監視を継続する期間 ・1 から 30 日の期間を指定可能 ・既定値は 30 日 過去のアクティビティ検出 ・トリガー イベント発生時点からの 過去のアクティビティを検出する期間 ・1 から 180 日の期間を指定可能 ・既定値は 90 日 ・過去のアクティビティの検出には 監査ログを利用 ※標準では監査ログの保存期間は 90日 M365 E5 eDiscovery & Audit ライセンス 保有時は最大 1年
- 12. Microsoft Japan Digital Days Demo :
- 15. Microsoft Japan Digital Days Insider Risk Management 高リスクなユーザー アクティビティの調査と対処
- 16. アラートの調査・ケース管理の流れ 概要 16 アラート通知 アラート調査 ケース管理 対処 ユーザー アクティビティ アクティビティ エクスプローラー 概要 ユーザー アクティビティ チャート アクティビティ エクスプローラー コンテンツ エクスプローラー メール通知 ケースの解決 Advanced eDiscovery エスカレーション ケース管理画面 アラートの削除 Insider Risk Management ケース画面でのみ利用可能 法務部門等へ 更なるエスカレーション 本人および上司への確認 退職予定者 登録 手動ユーザー 割り当て DLP ポリシー 高アラート Azure AD ユーザー削除
- 17. アラートの調査ポイントの例 17 詳細な調査が必要と判断 ケース化実施 問題がないと判断 アラート削除・クローズ 優先度の高いアラートを確認する アラートの発生のきっかけとなったポリシーとトリガー イベントを把握する ・ DLP ポリシー違反・退職予定者情報インポート・退職に伴う Azure AD ユーザー削除 検出されたアクティビティ関連事項を確認する ・ コンテンツの重要度 ( 機密情報の種類や秘密度ラベルなど ) ・ 共有対象 ( メール アドレス、クラウド サービスの URL など ) 検出されたユーザをフィルタリングして調査する ( 最大過去 6 か月間 ) ・ 機密情報「接近」「入手」「流出」につながるアクティビティへの重要ファイルの関与や日時
- 18. 18 アラート - フィルタリング (重要度の高いアラートのみのフィルタリング) アラート数が多い場合はフィルターを利用し て優先度の高いアラートを表示する
- 20. 20 アラート - アクティビティ エクスプローラーの確認 (1/2) アクティビティエクスプローラーの画面から 「宛先ドメイン」「機密情報の種類」「ファイルの秘密度ラベル」などを フィルターに追加し、まずは 「流出」につながるアクティビティを選択して 重要度の高い情報の関与や時期等について確認する。 また、機密情報への「接近」や「入手」に関するアクティビティにおける 重要度の高い情報や情報の置き場所への関与や時期等について 確認する。
- 21. 21 アラート - アクティビティ エクスプローラーの確認 (2/2) アクティビティに関連するファイルや共有対象について確認する
- 23. ユーザー/デバイス アクティビティ監視のタイムライン Insider Risk Management ポリシーによる 過去/未来のアクティビティ 監視/分析の開始 例.2021/10/1 Insider Risk Management ポリシーの作成 例.2021/8/1 ・退職するユーザーによるデータ 盗難ポリシー 必要とするトリガー イベント： HR コネクタ or Azure AD ユーザー削除 ・一般的なデータ漏洩ポリシー 必要とするトリガー イベント： DLP ポリシーの高アラート or 特定の異常アクティビティの発生 ・不満を持つユーザーによる データ漏洩ポリシー 必要とするトリガー イベント： HR コネクタ Insider Risk Management ポリシーによる アクティビティ監視終了 例.2021/10/31 2021/10/1 トリガー イベント発生により Insider Risk Management ポリシーによる過去/未来の監視/分析を開始 2021/10/31 Insider Risk Management ポリシー監視終了 2021/8/1 Insider Risk Management ポリシー作成 アクティブ化ウィンドウ (30日) ※インジケーターによるリスクスコアリングの 監視が継続実施される期間 トリガー イベントの発生 例.2021/10/1 手動でのユーザー割り当て 例.2021/10/1 DLP ポリシーの高アラート (Office 365 DLP、Endpoint DLP など) HR コネクタによる 人事情報のインポート 23 過去のアクティビティ検出 (90 日) ※インジケーターによるリスクスコアリングの分析が実施される期間 デバイス オンボーディング 例.2021/7/1 2021/7/1 監査ログへの デバイスアクティビティ取得 OR OR 特定の異常 アクティビティの発生 Azure AD ユーザー の削除
- 24. Microsoft Japan Digital Days まとめ
- 25. Microsoft 365 E5 Compliance Insider Risk Management 重要な内部者リスクを特定し、 対策を講じます データのライフサイクルを通じて データを保護し、統治します Information Protection & Governance 関連データの迅速な調査と 対応を可能とします eDiscovery & Audit データ損失防止 カスタマー キー 機密情報の種類 完全なデータ一致 Advanced Message Encryption イベント ベースの保持 インサイダー リスク管理 情報バリア コミュニケーション コンプライアンス 特権アクセスの管理 カスタマー ロックボックス Advanced eDiscovery Advanced Audit Compliance Management コンプライアンスの簡素化とリスクの低減します。
- 26. © 2021 Microsoft Corporation. All rights reserved. 本情報の内容 (添付文書、リンク先などを含む) は、公開日時点のものであり、予告なく変更される場合があります。 本コンテンツの著作権、および本コンテンツ中に出てくる商標権、団体名、ロゴ、製品、サービスなどはそれぞれ、各権利保有者に帰属します。 本資料は情報提供のみを目的としており、本資料に記載されている情報は、本資料作成時点でのマイクロソフトの見解を示したものです。状況等の変化により、内容は変更される場合があります。本資料に特別条件等が提示されている場合、かかる条件等は、 貴社との有効な契約を通じて決定されます。それまでは、正式に確定するものではありません。従って、本資料の記載内容とは異なる場合があります。また、本資料に記載されている価格はいずれも、別段の表記がない限り、参考価格となります。貴社の最終 的な購入価格は、貴社のリセラー様により決定されます。マイクロソフトは、本資料の情報に対して明示的、黙示的または法的な、いかなる保証も行いません。