法律事務所と保険会社のためのオフェンシブセキュリティ。
法律事務所と保険会社が預かっているのは、依頼者が守秘の約束のもとで手渡したものです。ここでの漏えいは IT の事故ではありません。職業上の信頼の断絶であり、法的な結果がただちに伴います。
機微な情報の集中
同じ面積あたりでこれほど価値の高い情報が集まる分野は多くありません。訴訟の戦略、交渉中の企業取引、請求を裏づける診断書、資産の履歴。この材料は、恐喝を狙う者にとっても、交渉のテーブルの向かい側に座る者にとっても価値があります。そして後者の動機があるとき、攻撃は的を絞った静かなものになります。
- 内容そのものが、紛争の相手方にとって即座に戦略的な価値を持ちます。
- 守秘義務は契約上の約束ではなく、法律上の義務です。
- 保険金請求の不正は、ソーシャルエンジニアリングと書類の改ざんを組み合わせます。
- 業務は、依頼者や外部の専門家との絶え間ないファイルのやり取りに依存しています。
この種の環境で検証する範囲
書類を追いかけます。どこから入り、どこに置かれ、誰が手を届かせられ、どうやって外に出るのか。
案件管理と文書保管庫。オブジェクト単位の権限確認、依頼者どうしの分離、誰が何を読んだかの記録。
認証、パスワード再設定、書類のアップロード、履歴の閲覧。ある契約者が他人の案件に届かないかも含みます。
事故連絡、報告書の提出、査定、支払い。本来は謝絶すべきものを承認させるよう、どこで処理を操作できるのか。
振込先変更を装った詐欺への耐性。メールで届いた依頼について本人確認が行われるかを含みます。
専門家、提携先、依頼者とのファイル交換。忘れられた公開リンク、広すぎる権限、期限切れの設定漏れ。
一台の端末へのアクセスがどれだけの文書量に届くのか、そしてその材料が警報なしに外へ出る経路はどれか。
守秘は推奨ではなく要件です
報告書は守秘義務の侵害を独立した深刻度の区分として扱い、純粋に技術的な基準より上に置きます。
- 職業上の守秘義務
- 依頼者の秘密は法律上の独自の位置づけを持ちます。依頼者の文書へ不正に到達しうる経路は、技術的な点数にかかわらず重大として分類します。
- 個人データ保護
- 案件や請求の資料には、健康や信条といった要配慮の区分が含まれます。本人の露出と影響を受ける根拠を記録します。
- 保険業の規制
- 保険会社は自社の内部統制と業務リスクについて説明責任を負います。報告書は定期的な検証の証跡として位置づけられます。
- 法人顧客の要求
- 大口の顧客は法務の委託先を監査します。完了報告書は、悪用可能な詳細を伏せたままその質問票に応えます。
強化した守秘のもとでの進め方
最初のアクセスより前の取り決め
第三者の文書に関する条項を含む強化した秘密保持契約を、作業の前に締結します。御社側で誰が報告書を見られるのかも定めます。
中身を持ち出さずに立証する
文書を持ち出さずに不正なアクセスを示します。立証に足るメタデータと識別情報を記録し、中身はその場に残します。
書類偽造の想定
偽造された書類が受理されてしまう流れを検証します。請求と支払いにおいて、実際の損失が生じるのはそこだからです。
是正と再テスト
守秘対象の材料の露出度で優先順位をつけ、是正に伴走し、最終版を出す前に再検証します。
お渡しするもの
- 守秘に関するリスクを扱う経営向け報告書
- 再現できる技術報告書
- 守秘対象の材料へのアクセス経路図
- 根拠を添えた CVSS 評価
- 検証した書類偽造の想定シナリオ
- 中身を持ち出さない証跡
- 是正済み項目の再テスト
- 顧客向けの完了報告書
この業種でよくある質問
依頼者の秘密文書を読むのですか？
+
読まずに済むよう設計しています。不正なアクセスの立証に中身を読む必要はありません。統制が働かなかったことを、識別情報とメタデータの記録で示せば足ります。中身が避けられない場合はマスクして証跡に入れ、資料は正式な確認のうえ工程の終了時に破棄します。強化した秘密保持契約が最初に結ばれます。
保険金請求の不正も対象ですか？
+
対象で、たいていは金額として最も大きなものになります。事故連絡、報告書の提出、査定、支払いの実行まで流れ全体を検証し、規則を曲げられる箇所や、確認が足りず偽造書類が通ってしまう箇所を探します。
顧客からの監査への回答に報告書を使えますか？
+
使えますし、完了報告書はそのためにあります。悪用可能な詳細を明かさずに、対象範囲、期間、結論を確認します。委託先向けの質問票が求めるのはまさにそれです。技術報告書の全文は、開始時に御社が指名した方だけに限定されます。
振込先変更の詐欺にはどう対処しますか？
+
専用の想定として扱います。この分野で最も繰り返される手口だからです。私たちが検証するのはシステムだけでなく手続きの耐性です。メールで届いた口座変更の依頼が独立した経路で確認されるか、一定額を超える支払いに二人目の承認があるか、という点です。