オンラインプライバシーの保護：ビジネス成功のための主要戦略

ビジネス運営において最優先事項ではないかもしれませんが、完全にインターネット接続された世界へ移行するにつれ、オンラインプライバシーの重要性はますます高まっています。

プライバシーとは何か

簡単に言えば、プライバシーとは企業や公衆の視線から身を引くことです。少なくとも1890年以来、個人が私的な事柄を秘密にする権利について議論されてきました。プライバシーは情報セキュリティと密接に関連しており、情報の機密性、完全性、可用性を保護するものです。プライバシーは、データの収集、保存、処理、利用の方法により関心があります。オンラインプライバシーを守るには、写真、動画、図面、文書などあらゆる形式の個人情報を保護することが含まれます。

ほとんどの場合、情報を安全に保たずにオンラインプライバシーを維持することはできません。そのため、ビジネス情報を守るにはセキュリティとプライバシーの両方を考慮することが重要です。NISTプライバシーフレームワーク入門ではセキュリティとプライバシーの関係について詳しく説明していますが、簡潔さのためにここでは双方が重なる部分のみに焦点を当てます。

一般的なオンラインリスクとは

接続が進むにつれ、個人情報がインターネット上に漏洩する可能性が高まります。データ侵害、窃盗、情報漏洩は、ユーザー側のセキュリティ不備が原因となることが多々あります。2020年ベライゾンデータ侵害調査報告書によると、2019年の侵害の22%は単純な人的ミスによるものでした。たとえば、メールの誤送信や従業員がログイン認証情報を偶然漏らすといったケースです。個人情報や機密情報を扱う際には、これらのリスクを評価する必要があります。

ビジネスの世界では、公開する情報量と自社の宣伝のバランスを取らなければなりません。ソーシャルメディアで公開しようとしている内容が、ビジネスについて知られたくない情報を露見させていないか？

例えば、インターンが自社ビルの入り口で撮影した写真を公開したとします。一見無害ですが、インターンのバッジや自社のセキュリティシステムが写り込んでいれば、攻撃者が不正アクセスに利用する可能性があります。自分や自社について発信する情報を慎重に精査し、常に注意を払うことが重要です。

トラッキングCookieとデジタルフィンガープリンティング

もう一つ考慮すべきは、インターネット上であなたや従業員について収集されるデータです。トラッキングCookieとデジタルフィンガープリンティングはオンライン活動を追跡します。Cookieは識別情報を含む小さなファイルで、ウェブサイトに配置されサイトデータの追跡、設定ファイルの記録、ユーザーの特定に使用されます。デジタルフィンガープリンティングは、マウスカーソルの動きから画面サイズまであらゆる情報を追跡するプロセスです。

Cookieとフィンガープリンティングによりオンラインでの移動や情報が追跡され、犯罪者が攻撃を計画しやすくなります。例えば、自社ウェブサイトで顧客が追跡されている場合、攻撃者はその情報を使って標的型メール（スピアフィッシング）を送信し、あたかも自社からのメールのように見せかけます。メール内の偽サイトへのリンクでログイン認証情報を入力させ、ネットワークへの侵入に利用される恐れがあります。

ソーシャルメディアのリスク

ソーシャルメディアの利用もリスクを伴います。従業員が知らずに社外秘情報を共有してしまう可能性があります。例えば、職場での写真を投稿した際、背景にビジネス上の機密情報が写り込んでいるケースです。オンラインに漏洩した情報は、ソーシャルエンジニアリング攻撃（人を騙して機密情報を引き出す手口）や、物理的な侵入攻撃に利用されることがあります。セキュリティ対策が万全でも、従業員がパスワードの写り込んだ写真を投稿すれば、セキュリティシステムはほぼ無力化されます。

ソーシャルメディアやウェブサイトを運営する企業は、自社システムがCookieやフィンガープリンティングで人を追跡していないか把握しておく必要があります。多くの州で、こうした情報の収集・利用方法や破棄時期について法律が定められています。

プライバシーを守る

どの情報を共有すべきか検討しましょう。画像やメッセージを送信する前に、以下のような機密情報が含まれていないか確認してください。

• 犯罪者に利用される可能性のあるもの（セキュリティシステムの写真など）
• 設備の領収書や、自社に関する潜在的に機密性の高い情報
• 個人的な情報（スタッフの休暇予定など）
• 恥ずべき情報（顧客の検索履歴など）

オンラインプライバシーを維持するためのヒントをいくつか紹介します。

従業員にオンライン共有内容を熟考させるトレーニングを行う

従業員が自分や会社に不利益となる情報を漏らさないよう教育します。例えば、従業員がソーシャルメディアで「重要なポジションで働いていた」と投稿し、後に休暇中の写真をアップすれば、攻撃者はその従業員の自宅や職場のアカウントを狙う好機と見なすかもしれません。

承認・許可された場合を除き、業務に関する情報を共有しないよう従業員を教育しましょう。オンライン上のあらゆる情報は攻撃者によって容易に収集・共有され得ます。一見無害な情報でも、収集・集約されればリスクになります。ID、ログイン認証情報、職場の写真、電話番号、サプライヤーリスト、従業員スケジュールなどは犯罪者に利用される可能性があります。

ブラウザとプログラムを最新状態に保つ

すべてのプログラム、OS、ウェブブラウザを最新版に更新し、パッチを適用して情報保護機能を維持しましょう。最新版を実行することで、旧バージョンを狙った攻撃や、旧バージョンに存在したバグ・脆弱性から守られます。安定性を優先する場合は、フルアップデートではなくセキュリティパッチのみ適用することでプログラムを最新状態に保てます。

ネットワークレベルのウェブサイトブロッカーを使用する

広告ウェアやマルウェアを広告に仕込むウェブサイトへのアクセスを避けます。ネットワークレベルのウェブサイトブロッカーは、ユーザーがこうしたサイトに接続できないようにします。また、ブラウザや検索エンジンが提供するオートフィル・オートコンプリート機能を無効にします。これらはプライベートで機密性の高い情報を収集する可能性があるため、特に共有マシンでは無効化が重要です。

ブラウザ履歴を無効にする（または範囲を制限する）

ブラウザ履歴は頻繁に訪問するサイトの高速読み込みやパーソナライズ広告の提供に利用されますが、犯罪者が従業員を脅迫し、機密ビジネス情報や金銭を要求する材料として悪用される恐れがあります。社内セキュリティポリシーで一定のブラウザ履歴保持が求められる場合でも、必要な期間のみ保持し、不要になった古い情報は確実に削除してください。

トラッキングを無効にする

選択肢がある場合はトラッキングをオフにし、ウェブサイトやブラウザに「追跡されたくない」意思を伝えます。トラッキングなしでは機能しないサイトもあります。その場合はシークレットモードやプライベートモードで閲覧しましょう。トラッキング必須のサイトを利用する際は、機密情報にアクセスできるコンピュータを使用しないでください。

広告ブロック拡張機能を使用する

オンライン広告は煩わしいだけでなく、マルウェアをネットワークに送り込む経路にもなります。広告をブロックすればこのリスクを大幅に低減できます。ネットワークレベルの広告ブロッカーは管理が容易ですが、個々のブラウザに拡張機能を入れるよりコストがかかる傾向があります。

クロスサイトCookieをブロックする

Cookieはウェブサイトに埋め込まれたトラッキング用ビットで、サイト設定などのデータを保存します。このデータでインターネット上のユーザーを特定できます。Cookieを完全に無効にすると一部サイトが使えなくなるため、複数サイト間で設定を保存する「クロスサイトCookie」のみブロックするのが現実的な妥協点です。不要なCookieはブロックし、Cookieを許可するサイトのリストを作成する方法もあります。

Flash Playerをブロックする

2021年1月以降、Flash Playerはサポート終了となり、メーカーによるセキュリティパッチを含む更新は一切提供されません。業務上不可欠でない限り、ローカルマシンやネットワークへのインストールをブロックすべきです。

不要なマシンのインターネット接続を遮断する

業務運営にインターネット接続が不要なマシンは、接続を許可しないでください。必要なら物理的に隔離します。ネットワークアクセスは必要だがインターネットアクセスは不要なデバイスは、別のVLAN/LANに配置します。更新のために時々インターネット接続が必要なマシンは、必要な時だけ接続するようにしましょう。

MEPナショナルネットワークがサポートします

リスク軽減とオンラインプライバシーの維持は、リソースの限られた中小製造業者にとって特に負担が大きいものです。MEPナショナルネットワーク^TMの専門家が、これらを含むサイバーセキュリティ課題の解決をお手伝いします。ネットワークは全50州とプエルトリコに51のMEPセンターを擁し、電話やクリック一つで支援を受けられます。