社員による不正アクセスは、「やろうと思えばできる」状態をなくすことで防ぎます。具体的には、①1人1アカウントと多要素認証、②仕事に必要な範囲だけの権限、③アクセスの記録と、記録していることの周知、④不正アクセスが犯罪であることの教育です。
仕組みのポイント
- パスワードの共有を禁止し、共有アカウントをなくす（誰が操作したかわかるように）
- 多要素認証で、他人のパスワードを知っていてもログインできないように
- 権限の棚卸しで、異動前の部署の権限を外す（権限管理）
- アクセスログを記録し、定期的に確認（ログによる抑止）
- 入社時・年1回の教育と誓約
IPAの組織における内部不正防止ガイドラインは、「犯行を難しくする」「捕まるリスクを高める」「犯行の見返りを減らす」「犯行の誘因を減らす」「犯罪の弁明をさせない」という5つの観点で対策を整理しています。