英国の諜報機関、機密情報を含む恐れのある数千台の機器の所在を把握できず

英国の諜報機関は、国家の最重要機密を守る立場にあります。しかし、自らが管理する数千台の記憶媒体の所在を、いまだに把握できていません。その中には、極秘情報を含むものがある可能性もあります。

PoliticoとThe Registerの報道によると、英国政府通信本部（GCHQ）は、機関内での使用が登録されたリムーバブル記憶媒体がどうなったのかを突き止められず、長年苦慮してきました。行方不明の媒体には機密性の高い情報が含まれている可能性があり、同機関が機密情報をどのように追跡し保護しているのかという懸念が高まっています。

長年にわたり厳しい監視を受けてきたにもかかわらず、GCHQは依然としてこれらの機器の明確な所在を示せていません。この状況は、世界中のセキュリティチームに厄介な問いを突きつけています。保管場所を確実に追跡できないのに、組織は機密情報をどう守ればよいのでしょうか。

GCHQの紛失機器がセキュリティ上の懸念を招く理由

The Registerによると、GCHQは紛失したドライブの数を「極めて多い」と説明しています。ただし、正確な数は不明のままです。同メディアは、その数が数千台規模に上ると伝えています。

GCHQの広報担当者はThe Registerに対し、問題の原因は以前の管理システムにあったと述べました。このシステムは、使用登録されたリムーバブルメディアを追跡するには不十分だったといいます。その結果、同機関は自らが発行したメディアについて、信頼できる記録を持てない状態になっています。 

情報機関活動監視委員のブライアン・レベソン氏によると、これらの機器には機密情報が含まれているとされています。Politicoの報道では、レベソン氏は次のように述べています。GCHQは、機密データを保持している可能性のあるリムーバブルメディアがどうなったのか、「私が最初に問題を提起してから何年も経つのに、いまだに説明できません」。

GCHQは、できる限り多くの機器を見つけ出すため、追加の作業に着手したとしています。また、2026年末までに自動化された資産追跡システムを導入する計画です。その時点で、行方不明のメディアの数をより正確に把握できるようになる見込みだと説明しています。

記憶媒体がセキュリティリスクとなる理由

リムーバブル記憶媒体は、機密情報を、それを守るために設計されたシステムやネットワークの外へ持ち出せてしまうため、セキュリティリスクとなります。オンプレミスで保護された機関のサーバーに保管されたデータとは異なり、USBなどの可搬型データメディアは、置き忘れや盗難に遭うおそれがあります。許可されていないコンピューターに接続されてしまう可能性もあります。

重要なのは、リスクが機器そのものの紛失にとどまらない点です。行方不明のドライブに諜報記録や監視資料、個人情報が含まれていれば、その内容から情報源や捜査対象者に関する情報が漏れかねません。

暗号化やPINによる保護は重要な対策ですが、それでも紛失した機器が無害になるわけではありません。これらは不正アクセスの可能性を下げるものの、内容の安全を保証するものではありません。とりわけ、データの複製がほとんどない場合はなおさらです。だからこそ、確実な追跡が重要になります。追跡できなければ、機器が施設内で所在不明になっているのか、管理下を離れたのか、あるいは悪意ある第三者の手に渡ったのかを、組織は判断できません。

諜報機関や、顧客の機密情報を扱う組織にとって、データ記憶媒体は、機器としての価値だけでなく、そこに何が入っているかという観点でも扱うべきものです。

GCHQの紛失機器からセキュリティチームが学べること

GCHQが直面している困難は、セキュリティの根本的な問題を浮き彫りにしています。機密情報を保存する機器の所在を把握できない組織は、その情報を確実に守ることができません。

セキュリティチームにとって、今回の件は次のような重要な実践の必要性を改めて示しています。

• 機器の完全なインベントリを維持する。すべてのリムーバブル記憶媒体について、割り当てられた所有者、保管場所、保存を許可された情報の種類を記録します。
• 機器の移動を追跡する。可搬型記憶媒体の発行、移管、返却、廃棄の際には、従業員に記録を義務付けます。
• 機密情報を暗号化する。適切な暗号化とアクセス制御を用い、機器が行方不明になった場合の不正アクセスのリスクを低減します。
• リムーバブルメディアを制限する。USB記憶装置へのアクセスは、承認された機器と、正当な業務上の必要がある従業員に限定します。
• インベントリを定期的に監査する。資産記録と実機を突き合わせ、不一致は長期化する前に調査します。
• 紛失時の手順を整備する。従業員が紛失をどう報告するか、セキュリティチームが想定される漏えいの範囲をどう評価するか、どの段階でエスカレーションするかを定めます。

これらの対策は、政府機関や医療機関、金融機関、顧客の機密情報を扱う企業にとって、特に重要です。

GCHQの事例は、高度なセキュリティ組織であっても、資産管理という基本的な統制が不十分であれば、重大なリスクに直面することを示しています。

機密情報の紛失や漏えいを防ぐためのさらなる指針については、eSecurity Planetの データ損失防止のベストプラクティス12選をご覧ください。暗号化、アクセス制御、定期的なセキュリティ監査などを取り上げています。