GitHubからの情報漏洩。再発防止のための4つのリスク対策とは - コラム | ISM（アイエスエム） CloudOne

情報漏洩は日々様々な場所で発生しています。
テレワーク普及と共にクラウド需要も更に高まり、企業規模や場所に関わらず発生するため誰であっても対策は必須となっています。

先日、GitHubを経由してシステムのソースコードが流出している事が発覚した事件がありました。この情報漏洩事件が発生したことで、自社内で同じようなものが利用されていないか心配になった方も多いのではないでしょうか。

【１】GitHubとは？

GitHubとは、プログラムをインターネット上で他人と共有する事が出来るプラットフォームです。自分のプログラムに対して他の人からフィードバックを貰ったり、似たようなプログラムを作っている人を参考にしたりと非常に便利で人気があります。今やシステム開発に携わる人の多くがこのGitHubを利用しています。2020年には約5,600万人が利用し、最早開発を行う上でなくてはならないツールの一つとなっています。

【２】なぜ今回GitHubから情報漏洩が発生してしまったのか。

今回の漏洩事件は、システム開発をしている下請けのプログラマーがGitHubにアップロードしたファイルが全世界に公開されていることを認識せずに利用したことで発生してしまいました。

GitHubはアップロードしたプログラムの公開範囲を設定する事が出来ます。

企業で利用している場合デフォルトが非公開となっている場合が多いですが、今回はデフォルトで公開となっていたためチェックミスで発生しました。

【３】企業はこのようなツールとどのように付き合っていくべきか。

１：ルールの徹底・社員教育

まずは社員に、機密情報の定義と取扱いに対するしっかりとした教育を行うなど、情報保護の意識を持たせることから始めなくてはいけません。

２：委託先とのセキュリティ対策の共有／把握

また、今回の件は委託先にて問題が発覚しました。そのため、自社の社員はもちろんですが、委託先のセキュリティに関してもきちんと状況を把握し、相互に安全に機密情報や個人情報を守るようにする必要性があります。余談ではありますが、IPAの情報セキュリティ10大脅威でも、サプライチェーンの弱点を悪用した攻撃が4位に上がっており、改めて相互においてセキュリティ対策の把握が大事だということが、このニュースからも伝わってきました。

３：不要なWEBサイトへのアクセス制限

では、社内ルールの徹底や教育をしたうえで、どのような対策をすべきか。

例えば、利用者である社員に頼り切らないシステム面での対策も行う必要があります。

その一つが、Webサイトへのアクセス制限です。

不用意なWebサイトのアクセスは情報漏えいが発生する恐れがあるため、企業側は社員が不必要なWebサイトへアクセスさせないような制限が必要です。

今回のGitHubはWeb上にあるプラットフォームで、アクセス制限をしていない場合誰でも利用することができてしまいます。

今回は社内での設定や権限の見直しなど社内ルールの徹底や教育についての重要性を感じましたが、このような場合に限らず、意図的でなくとも情報漏洩が発生してしまうリスクは多くあります。情報漏洩が起こらないためにも、最低限不必要な人にはこのようなWebサイトにアクセスさせない、といったような制限を持たせることも重要です。