非公開のドキュメントを保護する

  • Article

(この記事は Whymicrosoft.com に 2011 年 12 月 8 日に投稿された記事の翻訳です)

電子メールやドキュメントを同僚と共有するときに、機密保持を求めれば、同僚が情報を他者に開示することはないと信じています。それにもかかわらず、特にビジネス上の機密にかかわる情報は非常に興味深いものであることが多いため、どのような場合に魔が差して人がこのルールを破ってしまうのか、その例を報道において見ることができます。たとえば、Ad Age は昨年、Google 最大顧客の広告費を暴露した漏えい文書を受け取りました。マイクロソフトは、個人による漏えいからは解放されないものの、お客様と従業員に対して、電子メール メッセージとドキュメントが対象者以外に公開されないよう保護するためのテクノロジを提供しています。

 

Information Rights Management

Information Rights Management (IRM) は、ドキュメントおよび情報向けの Digital Rights Management と似ています。IRM によりユーザーは、コンテンツに対する権限を制限し、制限付きコンテンツの正規の受信者がコンテンツの転送、コピー、変更、印刷、ファクス送信、および投稿を行うのを防止できます。IRM を使用すると、Windows ユーザーはプリント スクリーンによる制限付きコンテンツのコピーを防止することもできます。

Microsoft Word 文書のアクセス制御について、以下の画像で説明します。Word では、アクセス許可の権限を使用して、従業員に対して文書の表示を制限できます。受信者が文書の転送、コピー、印刷を行えないようにアクセス許可を設定し、文書を制限して正社員だけが文書にアクセスできるようにすることができます。これだけではありません。各 Office アプリケーションでも同様の制限を適用できます。

Google Docs には Information Rights Management はありません。実際 Google 環境は、漏えいに対して隙だらけです。Google Docs では、ユーザーはドキュメントをオンラインで共有する相手を指定できますが、ドキュメントにセキュリティ設定を適用することはできません。他のユーザーは、ドキュメントのダウンロードと共有を好きな方法で行うことができます。ユーザーが Google Apps ドメインで作業している場合、そのドメインのセキュリティ設定が非公開になっているかどうかに関係なく、そのユーザーのファイルには、そのドメインのセキュリティ設定が既定で適用されます。このため、Google Apps ユーザーは、知らないうちにドキュメントを共有したり公開したりしている可能性があります。

Microsoft Word と Google Docs のドキュメントに対するアクセス制御の比較

「Googleドキュメントにさらにセキュリティーホール発見」および「Google Docs のセキュリティは企業データに十分なのか?」などの記事は、さらなるリスクを明らかにしています。Google Docs では、画像の所有者が画像を表示するためのアクセス許可を付与したかどうか、画像に対するユーザーの権限を無効にしたかどうか、または画像を削除したかどうかに関係なく、画像は別の URL で保存されるため、その URL を知っていれば誰でも画像を入手できてしまいます。知識のあるユーザーは、URL のリビジョン番号を変更して、古いバージョンの画像にアクセスすることもできます。企業の予算や損失額のグラフなど、機密性のある画像であった場合、情報がたやすく広まって、企業の信用を傷つけるおそれがあります。しかし、「これらの懸案事項のために、当社のユーザーに重大なセキュリティ リスクが生じることはないと確信している」と表明しながらも、Google はこれらのセキュリティ ホールの見直しを行いました。Google では、Google Docs の画像のセキュリティを非常に深刻なものとはとらえていないようです。

 

電子メールに関する権限の管理

マイクロソフトでは、電子メールでも IRM を利用できるようにしています。Office のアクセス許可設定によく似た一連のアクセス許可を使用して、Exchange から電子メールのアクセスを制限できます。許可する権限と許可しない権限を指定できます。たとえば、リスクと不利益を軽減するため、従業員が非公開の社内メッセージを許可なく社外に転送できないように、IRM を実装することができます。企業では、チームの非公開の電子メールをチーム内に留め、電子メールに含まれている企業秘密の機密性を保持することができます。Google では、このような機能はまったく提供していません。

Microsoft Exchange での権限管理

 

Information Rights Management については、一定の社内投資が必要になります。Information Rights Management は、すべての企業に適しているわけではありません。大規模組織では多くの場合、IRM の実装に時間を割き、そのメリットを活用しています。この機能に関心をお持ちの場合は、グループ ポリシーを使用して Office 2010 と Outlook 2010 に IRM 設定を行うことができます。また、SharePoint のお客様は、Live ID を使用してあるいは Rights Management サーバーを通じて、セキュリティを管理することを選択できます。