情報セキュリティセミナー 安全なファイルの受け渡し方法のご提案 2015 年 6 月 19 日株式会社ソリトンシステムズ Product Solution 横山幸司 0
はじめに 機密情報の受渡しソリューションのご紹介 FileZen で出来るマイナンバーセキュリティ FileZen 製品デモ 1
ファイル転送における課題 メール添付における課題 送信元 受信先の添付ファイルの容量制限 重要なデータをメール添付することへの懸念 宛先や添付ファイルの間違い 外部サービス利用における課題 ファイルの管理体制が不透明 履歴が追えない USB メモリ利用における課題 紛失 盗難に伴う情報漏洩 ウイルス感染 購入コスト セキュリティ対策がされていない ファイル転送手法の統一されていない 2
ファイル転送には 安全なファイル転送に特化したアプライアンス ( 専用機 ) Web ブラウザのみで容易に利用 管理できる 国内開発 セキュリティの配慮も万全 3
とは? 大容量ファイルや重要な電子データを安全に転送 共有するためのアプライアンス ( 専用機 ) 特長 1 利便性 運用面を意識した仕様 WebGUI だけで 全ての操作ができる ファイルサーバーではない 一定期間で削除される 管理 運用も簡単 特長 2 充実のセキュリティ機能 3 段階の追跡ログ機能 ( システムログ 操作ログ アーカイブログ ) クライアント認証 承認機能 特長 3 信頼のアプライアンス サーバー OS ソフトが組み込んだ形で出荷 機器のスペックをフルで活用でき 機能は全てオプション無し 低い故障率 (<1%) 万が一の故障時も容易に復帰 4
ユーザー機能のご紹介 めるあど便 ファイルの送信 [ めるあど便 ] 相手様にメールと添付ファイルを送る機能 ワンバイワンでご利用の場合 ファイルの受取 [ 受取フォルダ ] 相手様からファイルを受け取る機能 プロジェクト 継続でご利用の場合 グループでファイルを共有 [ プロジェクト ] 共有フォルダに権限をつけて社内外問わず セキュアにファイル転送が出来る機能 マイナンバーの利用はこちらを想定 5
めるあど便 ( 送信機能 ) 簡単な操作で大容量ファイルや重要な電子データを送信できます オプション設定をカスタマイズしてよりセキュアに転送することが可能 Internet 3 メール通知 1 ログイン ユーザー 2 アップロード 4 ダウンロード 受信者 ダウンロード URL ダウンロードページ 1 ログイン 2 めるあど便作成 3 メール通知 4 ダウンロード ユーザー 相手先様 6
めるあど便 全体の流れ ファイルの送信 [ めるあど便 ] アップロード FileZen Internet メール通知 ( ダウンロード URL) 送信者 ( ユーザー ) ダウンロード 受信者 ダウンロード URL めるあど便作成宛先 件名 本文 添付ファイル ダウンロードページ 7
めるあど便オプション 公開期間 めるあど便の公開期間を設定します 期間を過ぎるとFileZenのファイルがダウンロード出来なくなります ユーザー 受信者 パスワードめるあど便で送られたファイルへアクセスするためのパスワードを設定出来ます ダウンロード回数めるあど便で送られたファイルのダウンロード回数を指定出来ます 指定数以上のアクセスは制御されます PDF 保護 ( 抑止効果 ) - ダウンロード時にスタンプを押す - 印刷を許可する - テキストのコピーを許可する 承認 ( 上長承認 ) めるあど便を相手様に送る前に上長の承認を必須とすることが出来ます 8
誤送信の対応も簡単にできます ファイルの送信 [ めるあど便 ] FileZen Internet 遮断 送信者 ( ユーザー ) ダウンロード URL 先のアクセスを遮断 受信者 9
プロジェクト ( ファイル共有 ) 人と場所と権限を指定し 決められたポリシーでファイル共有が出来ます 例 ) 社外の 2 社と専用フォルダ内で転送を行う場合 1 回だけの事前登録 1. プロジェクト作成 2. フォルダ作成 3. 相手先ユーザー作成 4. ユーザーにフォルダ割当 5. 権限追加 運用時 a. ユーザー FileZenへログイン b. ファイルをアップロード c. 外部ユーザーメール通知 d. 外部ユーザーログインしファイルをダウンロード e. システムで決められた期間を過ぎると自動でファイルが削除 プロジェクト A 社 ユーザー A ID:demoaaa PASS:pass A 社 ユーザー pjmanager B 社 ユーザー B ID:demobbb PASS:pass B 社 10
充実の管理機能 万全のセキュリティ対策 運用負荷も軽減 11
FileZen 活用事例のご紹介 12
お客様の課題 要件 I. 保険契約のためのお客様情報や約款を 海外支店と共有したいがポリシー上クラウドサービスは使えない II. 某保険会社様 お客様情報を海外支店と安全に共有したい お客様の大事な情報なので ファイルの不正な持ち出しや なりすましなどに対するセキュリティ面が心配 Cloud 置くだけ簡単の オンプレミス型 NO! 豊富なセキュリティ機能 で解決! 選定理由 I. 自社のポリシーで運用できるオンプレミス型 II. II. ファイル転送専用のアプライアンスなので 導入が簡単 サーバーの用意やソフトウェアのインストール不要 サポートも手厚く安心 ダウンロード ( アップロード ) 履歴が残り ファイルの不正な持ち出しを抑止できる IP 制御 クライアント証明書対応によりなりすましも防止 安心のサポート力 ST81( 中小規模向け ) 壊れにくく 安定稼働 分かりやすい日本語 GUI モデル : FZ-ST81-A 利用者数 : 約 300 人 ( 従業員数約 350 人中 ) その他 : ユーザー情報は既存 AD 連携により一元管理 13
某大学法人様 大容量のレポートや研究データを共有したい お客様の課題 要件 I. メールの送り相手や学内のメールサーバーに負担をかけず大容量のレポートや研究データを共有したい ( 学内のメールサーバーは送信可能容量が十数 MB に制限 ) 最大ユーザー 2 万の大規模向けモデル AD LDAP 連携 で解決! II. III. 学生 教職員数あわせて 1 万超 ユーザー課金のクラウドサービスだと割高 大人数なので LDAP 連携は必須 更にユーザー毎に容量制限したい 選定理由 LDAP Server 5GB/ ユーザー Group 1: 教職員 I. ブラウザ経由で FileZen に一時保管されているファイルをダウンロードする仕組みなので メールサーバーを圧迫しない Group 2: 学生 II. III. ユーザー 容量課金ではなく大規模ユーザーにも最適 LDAP 上のグループ毎にユーザークオーターを設定できる モデル : FZ-DX03 300MB/ ユーザー 利用者数 : 約 12,000 人 ( 学生 教職員数約 12,000 中 ) その他 : 既存のLDAPとの連携により 教職員と学生とで それぞれ1 回にアップロードできるファイル容量を制限 DX03( 大規模向け ) 14
マイナンバーを想定した ファイル転送ソリューション 15
マイナンバー ( 番号制度 ) とは 番号制度とは 行政手続きにおける特定の個人を識別するための番号の利用等に関する法律 ( いわゆる番号法 マイナンバー法 ) に基づく制度 2016 年 1 月から利用開始 社会保障 税 災害対策の 3 分野 ( 法 条例で定められたもののみ ) つまり利用するのは 税務署 地方公共団体 勤務先 金融機関 年金 医療保険者 ハローワークなど 一般企業は 社会保障 税の行政手続きと 健康保険組合で利用することとなる Copyright Soliton Systems K.K. 16
個人情報の取り扱いのガイドライン 個人情報の適正な取扱いを確保するための具体的な指針が公開されています 安全管理措置 ( ガイドラインより ) A 基本方針の策定 B 取扱規程等の策定 FileZenで対応可能 a 組織体制の整備 b 取扱規程等に基づく運用 C 組織的安全管理措置 c 取扱状況を確認する手段の整備 d 情報漏洩等事案に対応する体制の整備 e 取扱状況の把握および安全管理措置の見直し a 事務取扱担当者の監督 D 人的安全管理措置 b 事務取扱担当者の教育 a 特定個人情報等を取り扱う区域の管理 b 機器および電子媒体等の盗難等の防止 c 電子媒体等を持ち出す場合の漏洩等の防止 ( 事業者 ) E 物理的安全管理措置 c 電子媒体等の取扱いにおける漏洩等の防止 ( 行政機関等 地方公共団体 ) d 個人番号の削除 機器および電子媒体等の廃棄 a アクセス制御 b アクセス者の識別と認証 F 技術的安全管理措置 c 外部からの不正アクセス等の防止 ( 事業者 ) c 不正アクセス等の防止 ( 行政機関等 地方公共団体 ) d 情報漏洩等の防止 特定個人情報の適正な取扱いに関するガイドライン ( 事業者編 )( 本文及び ( 別添 ) 特定個人情報に関する安全管理措置 ) http://www.ppc.go.jp/files/pdf/261211guideline2.pdf 17
E 物理的安全管理措置 c 電子媒体等を持ち出す場合の漏洩等の防止 事業者 c 電子媒体等の取扱いにおける漏洩等の防止 行政機関等 地方公共団体 対策の詳細 特定個人情報等が記録された電子媒体又は書類等を持ち出す場合 容易に個人番号が判 明しない措置の実施 追跡可能な移送手段の利用等 安全な方策を講ずる クライアント証明書認証 での対応 1. 個人情報エリアへアクセスできる人を限定します 機能 クライアント認証 事前に証明書をインポートした端末のみログインを許可 します ２ 3段階のログ機能で全ての操作を追えます 機能 シスログ 操作ログ アーカイブログ 機器のシステム動作 転送操作 アップロードファイル を証跡確認します 18 認証局 (NetAttest EPSなど URL指定だけで ログオンOK プライベートCA併用OK( ) CRLチェック FileZenアプリで 証明書認証 別途対応予定 持込端末は 完全ブロック サーバー証明書がパブリックなら Webブラウザの警告も出ません 証明書認証の方法を選べます 自動的にログオン 端末識別+パスワード 証明書だけ 楽々ログオン IDまたはメールアドレスを判別 証明書は 正規端末識別に利用 手軽に二要素認証ができる
F 技術的安全管理措置 d 情報漏洩等の防止 対策の詳細 特定個人情報等をインターネット等により外部に送信する場合 通信経路における情報漏えい等を防止するための措置を講ずる 手法の例示 * 通信経路における情報漏えい等の防止策としては 通信経路の暗号化等が考えられる * 情報システム内に保存されている特定個人情報等の情報漏えい等の防止策としては データの暗号化又はパスワードによる保護等が考えられる での対応 1. 全ての通信を暗号化します 機能 :SSL 通信 FileZen は全ての操作を WEB で行いますので SSL 通信による暗号化が可能です 2.FileZen からの持ち出しはパスワードを必須機能 : パスワード FileZen へのアクセスはパスワードを必須と することでファイルを保護します ユーザー SSL 通信 受信者 19 パスワード
FileZen 製品デモ 20
このセッションでは めるあど便 デモをします めるあど便 ファイルの送信 [ めるあど便 ] 相手様にメールと添付ファイルを送る機能 ワンバイワンでご利用の場合 ファイルの受取 [ 受取フォルダ ] 相手様からファイルを受け取る機能 プロジェクト 継続でご利用の場合 グループでファイルを共有 [ プロジェクト ] 共有フォルダに権限をつけて社内外問わず セキュアにファイル転送が出来る機能 マイナンバーの利用はこちらを想定 21
めるあど便デモ手順 Internet 3 メール通知 1 ログイン ユーザー 2 アップロード 4 ダウンロード 受信者 ユーザー ( 送信者 ) 1FileZen へログイン 2 めるあど便作成しアップロード件名 宛先 本文 パスワード 添付ファイル 受信者 3 メール通知を 2 通確認 ( パスワード URL メール ) 4URL から FileZen へアクセスしパスワードを入力しダウンロードを行う システム設定ポリシー パスワードを必須 公開期間を 5 日 ダウンロード回数 2 回 PDF 保護無効 承認機能無効 22
ありがとうございました 23