CRMからの顧客情報持ち出しの抑止と防止／【公式】Cygiene（サイジーン）

Situation - CISOが直面している状況

全社DXによってビジネスのワークフローはクラウド化され、社内の効率は劇的に改善しましたが、退職者が顧客名簿を持ち出して転職先で用いているらしいという不穏な噂を経営陣は耳にします。CISOは、この噂の真偽と、想定されるインシデントケースへの対策を急遽、達成する必要に迫られます。

クラウド化ビジネスワークフローにおいて、顧客情報のダウンロードや持ち出しを検出する術がなく、情報の持ち出しの起点がどこであったか、個別のサービスのログをエクスポートして確認しなくてはならない。この業務をなんとか、自動化し、コストを抑えたい。
個人のクラウドストレージに業務データをアップロードされないよう、利用するクラウドサービスをホワイトリスト方式で制限したところ、社内の部署から多くの不平・不満が寄せられ、制限は撤回せざるを得なくなった。法人アカウントと個人アカウントを識別して制御できるソリューションを導入しなくてはならない。

目標	社内で利用しているクラウドサービスからの顧客情報漏えいを防ぐため、データのダウンロードアクティビティをレビューできるようにするとともに、個人ストレージへのアップロードを阻止する。

単純な制御や制限では、ビジネス部門からの不満が募るだけでなく、変化の激しいクラウドサービスにおいて、新しいサービス導入が遅れたり、自由度の低下によるクリエイティビティの低下が起きるでしょう。CISOはこれを防ぎつつ、セキュリティを達成しなくてはなりませんでした。

そこで、CISOは課題を絞り、自社の顧客データの管理と、個人ストレージへの転送を阻止する戦略を立てます。幸い、印刷や可搬記憶媒体の利用は制限されており、残る経路であるクラウドtoクラウドの問題に注目して解決するという目標を立てます。

クラウドサービスの利用を前提としたビジネスワークフローの中で、個々のクラウドサービスの管理と制御は、実に難しいものでした。既存のセキュリティソリューションがうまくワークしない中で、企業は利便性を犠牲にせずに、情報漏洩を防ぐという矛盾した目的を達成しなくてはなりません。

CISOは、NGFWやエンドポイントでの制御ではなく、クラウドアクセスをすべてゲートウェイ経由にし、その際に必要なサービス制御を行うという方式を取ることで、情報漏洩に繋がりうるユースケースに効率的な手当を実現しました。

結果として、顧客情報の不審な持ち出しアクティビティはなく、噂は噂であり、さらにテナントベースの制御によって個人のクラウドサービスのみに警告と制限が入るようになりました。ビジネスチームは、不自由を強いられることなく、正しいルールの中で営業に専念することができ、CISOも安堵します。

Cygieneによって、CISOは、自由とセキュリティを効率的に実現し、経営陣と現場の両方要求に応え、DXによるイノベーションの更なる促進に貢献しました。