セキュリティ・情報漏えい対策の視点で考えるワークフロー

出張申請や休暇申請などが中心だったワークフローですが、その用途は広がり続け、これまで基幹システムが対応していたような業務までを構築するケースも増えています。そうなると当然、顧客の情報や企業の機密情報をワークフローで扱うことになり、それらの情報を守るためのセキュリティ対策が求められています。
では、具体的にどのようなセキュリティを考慮しなければならないのでしょうか？今回は、特にセキュリティに厳しい金融機関での例をベースに、セキュリティや情報漏えい対策の観点からワークフローについて考えます。

ワークフロー

INDEX

情報漏えい対策の基本は“必要な情報以外にアクセスさせない”こと

セキュリティ・情報漏えい対策というと、外部からのサイバー攻撃をいかに防ぐかといった点が注目されがちですが、内部からの情報漏えいへの対策も必要です。不正アクセス対策は大前提としても、誤送信や紛失などの人的ミスから情報が漏えいしてしまうケースも少なくありません。こういった情報漏えいを防ぐためには機密情報の持ち出しを禁止する方法もありますが、それ以前に「業務で必要な情報以外は見せない、触らせない」ことが基本。情報にアクセスできなければ、漏らすこともできません。各自の業務に関係ない情報にはアクセスできないようにすることで、リスクを最小限に抑えられます。

これを実現するのがアクセス権限管理です。社員の個人情報を扱うワークフローは、アクセス権限を管理する機能を搭載している製品がほとんどですが、業務上の情報を扱う場合にはこれまでとは違った権限管理が必要になります。

情報の種類ごとに分けて権限管理しなければならない

金融機関でも社内審査の依頼や稟議書の提出などに、ワークフローを活用するケースが増えています。ここで扱うのはもちろん顧客の情報であり、非常にセンシティブなものが含まれます。そこで人事異動後は「前部署の情報を閲覧させない」ための権限管理をおこなっているケースが多いです。

従来のワークフローでは「自分の情報」を「自分で入力」していました。これは社員個人に紐づく情報ですから、部署を異動後に本人が過去の情報を閲覧できたとしても問題ありません。しかし、業務上の機密情報はプロジェクトなど組織に紐づくもの。人事異動で部署を離れた場合、組織に紐づく情報の閲覧はNGなのです。

つまり、同じワークフローの中でも、個人に紐づく情報にはずっとアクセスできる、部署に紐づく情報は部署異動でアクセスできなくする、特定のプロジェクトに紐づく情報はプロジェクトを離れたらアクセスできなくする…などアクセス権を分けて管理する必要があるということ。それぞれの情報と社員の”所属先”を関連づけて、細かく管理することが求められます。

管理者の作業権限も細かく設定すべき

上でも述べましたが、自分が関係する情報のみ閲覧できるように管理することは、権限管理の基本です。しかし、「全体の進行状況が把握できない」という課題から、金融機関でも管理者だけはすべての情報や申請状況を確認できるようにしているケースもあります。これにより進行状況をチェックし、承認が遅れているものについて催促するなど、業務がスムーズに進むようサポートできるのです。

とはいえ、「管理者は何でもできる」という状況も、セキュリティの観点からは大きなリスクに。「閲覧も修正も可能」「閲覧はできるが、修正はできない」「閲覧でき、ある特定の項目だけ修正できる」など、情報の内容やレベルによって権限を設定するのが理想です。「何でもできる」権限は確かに問題ですが、制限が厳しすぎて業務が滞ってしまうのも問題。それぞれの業務フローにあわせて細かく設定できることが肝心です。

監査対応だけじゃない！操作ログを保管する理由は？

セキュリティに関して忘れてはならないことは、操作ログ管理です。監査対応などで求められることもあり、金融機関ではあらゆる操作のログを保管しています。操作のログだけでなく、「誰が、いつ、どんな情報を見たか」という閲覧のログもすべて保管対象です。

そこまで徹底する理由は、万が一情報漏えいが発生した際にその原因を追跡するため。操作や閲覧の状況をすべて把握できなければ、原因を解明することはできません。すべての企業が金融機関と同様のログ管理を行う必要はなく、扱う情報の機密レベルにもよりますが、個人情報などを扱うフローだけでも、操作・閲覧のログを保管しておきたいところです。

ログを検索・分析できる環境が重要に

当然ですが、操作・閲覧ログをすべて保管していると膨大なデータ量になります。情報漏えいなどのセキュリティインシデントが発生した場合には、素早い原因究明が求められます。問題が発生してから慌てるのではなく、あらかじめログを検索できるように環境を整えておきましょう。「いつ、誰が、この情報を見た/この操作をした」など、ログを細かい条件で検索できればベストです。

ワークフローがあらゆる領域に進出し、企業の”本業”といえる業務に活用されるようになった今、それぞれの領域に見合った形でセキュリティへの配慮が求められています。効率化を目指すあまり情報管理が緩くなってしまうのはNGですが、情報を守るためにユーザ（社員）に大きな不便を強いるのもまた、生産性の低下を招きかねません。セキュリティ対策を実現するために、業務にあわせて情報を管理するという柔軟性が、これからのワークフローにとって欠かせない条件と言えそうです。