前回、操作ログを有効活用するために、重要情報を検出することが有効であるとお伝えしました。実際にどうやって情報を検出したらよいかについて今回はご説明します。

 本来重要情報は台帳を作り、ファイルの作成者が台帳を更新することで情報の存否・所在などを管理することが望ましいと言われています。しかし、ファイルはコピーされ日々新たに作られるものです。数が多すぎて通常管理可能な状況にはなっていません。個人情報を適切に管理するという観点からは、情報の台帳管理は必須ですが、通常加工されクライアントPC等に点在していくものです。情報の持出を厳密に管理するならばこれら点在していく情報も含めて管理し、アクセスをモニタリングしなければなりませんが、「どこにどういった個人情報が存在するか」すら、把握できないのが一般的ではないでしょうか。

 世の中には、情報を検出するツールがあるのをご存じでしょうか。数万、数十万というファイル数をすべて人手で確認して個人情報の有無をチェックすることは現実的ではありません。そこで是非知っていただきたいものとして、ソフトウェアプログラムでファイルの内容を確認し、辞書と突合して、個人情報の有無を確認することができる仕組みがあります。地名や人名などの情報や電話番号と思われる情報の識別などによって、判別するためのデータを辞書として持っています。通常人名なども苗字の人口比における高いカバレッジによって精度も信頼できると思います。

 検査後は、レポートとして、ファイル毎の個人情報件数や個人情報の具体的な内容、ファイルパスなどが表示されます。意図せず持っている個人情報は削除することもできます。一般的には個人情報の棚卸に活用されますが、特定キーワードを設定し、個人情報以外の情報を検出することにも活用できるかもしれません。例えば社外秘や特定の文字列(機密に該当するような用語など)を指定し、検索することができます。検索は正規表現が使えるソフトウェアがお勧めです。検出精度を高めることができるでしょう。

 検出した情報については、リレーショナルデータベース型の台帳にて管理することをお勧めします。例えば、情報マスター以外に、組織や従業員マスターを持って管理することができれば、メンテナンスの手間もありません。契約マスターを持てばどの契約に紐づいて管理させるべき情報かを一元的に把握することができます。

 この台帳にワークフローシステムが実装されていると、情報の入手から削除まで上長の承認を得て適切に管理することができます。リスクが高い情報についてはよりハイレベルのマネージャと情報を共有し、情報管理に関する組織としての取組みを強化することもできます。

 情報の台帳で最も重要な機能はユーザインターフェイスです。これらはすべての従業員

アクセスでき、且つ権限を持っている人のみが許可された情報にアクセスできる仕組みでなければなりません。情報は日々の業務の中で生成され、廃棄されていきます。ステータスを利用者でリアルタイムに更新し、現時点で保有している重要情報を企業として正確に把握できていなければなりません。つまりすべての従業員がアクセスできる仕組みでなければ、情報変更の即時性や正確性を欠いてしまうのです。

 ここまで読んでいただき、お気づきの方もいらっしゃると思いますが、情報管理台帳は、
ＩＴ資産管理台帳の仕組みを活用できるのです。リレーショナルデータベース型の情報管理、ユーザインターフェイス、ワークフローなどITサービス管理をベースとしたIT資産管理台帳が情報管理でも役立てることができるということを是非覚えていただければと思います。

 今回は情報管理のために情報を検索する仕組み(ディスカバリ)と管理台帳についてご説明をさせて頂きました。どの情報を重要情報として管理するかというメリットについては、前回ご紹介させていただきました操作ログの活用で高い効果を得られるはずです。操作ログも情報の重要性に着目するとリスクがより正確に評価できるようになるというトピックを前回ご案内させていただいています。合わせて前回、前々回のメルマガもご一読ください。

 情報管理を徹底し、内部不正対策を強化するために、ご紹介させていただきましたソリューションの導入を検討いただければと思います。