Written by MashiNari
ITベンダー、インフラ全般サービス企業で、プロジェクトマネージャー/リーダー等の経験を経て2016年にフリーランスへ転身。
インフラやクラウドシステムを中心に、要件定義、設計、構築、保守まで携わっています。
インフラの土台からweb周りの案件にも視野を広げ、近頃ではフロントエンド・バックエンドの開発にも従事し、日々奮闘中です。
“ChatGPT”の社内利用ルール、どう決める？
【AIサービス利用ガイドライン】を公開！
MOTEXが社内向けに作成したAIサービス利用ガイドラインをダウンロードできます。利用方針の決め方、作成ポイントの解説付き！
無料で誰でもアカウントを作成でき、利用方法もわかりやすいLINEは連絡手段として非常に便利なサービスです。
しかし、ビジネスの連絡手段として活用する場合は注意が必要です。
従業員が日常的に利用するアプリだからこそ、その弊害を理解し適切に運用しなければ情報漏洩に繋がる恐れもあります。
この記事では、LINEをビジネスで活用するリスクと対策を解説します。
使い方により情報漏洩に繋がるリスク
LINEは「Letter Sealing」と呼ばれる暗号化機能により、通信はもちろんデータベースに保存されるメッセージ内容も暗号化しており、LINE運営側でもメッセージの内容を解読することはできないとされています。
参考：LINE公式ブログ
したがって、一定以上のセキュリティ環境のもとで運営されていると考えてもよいでしょう。ただし、運営側のセキュリティ環境がすべてではありません。メッセージのやり取りに便利なLINEですが、ビジネスシーンで活用する際には利用者側でも危機管理能力をもった利用を心がけ、セキュリティには細心の注意を払うことが大切です。
アカウント管理
2020年2月ごろ、LINEのアカウントが乗っ取られる被害が相次ぎました。
参考：LINE：LINEへの不正ログインに対する注意喚起
アカウントを乗っ取られると、内部情報の流出はもちろん、フィッシング詐欺などの悪意を持ったメッセージを組織内のトークに送信される二次被害の危険性も非常に高くなります。乗っ取りの被害を防ぐための自衛方法も公式から案内されてはいますが、従業員個人の対応に任せる状態になってしまいます。
また、万が一の時は組織がアカウントを停止する、端末からデータを削除する等の対策をとる必要があります。従業員のアカウント管理を組織が行えないLINEでは、アカウント乗っ取り以外にも端末の紛失や盗難時もリスクに対処することが難しくなります。
利用状況の管理
LINEメッセージのやり取りは、組織として管理できません。不用意に機密情報が送信されている、ハラスメントに繋がるコミュニケーションが行なわれているなど、組織が認識して対処しなければならない問題が放置されるリスクが高まります。
情報漏洩が発生してしまった場合には、組織として迅速な対応が求められますが、漏洩が発生した時点でのトーク履歴を削除されてしまうと、どのような状況で情報漏洩が発生したのかの把握も困難になります。情報漏洩発生時の初動対応を実施できず、社会的な信用に大きく影響します。
LINEはメッセージのやり取りが行ないやすい反面、組織としてビジネス利用するには多くの課題が存在するのです。
情報漏洩が起こってしまう理由は、LINE以外にも多岐にわたります。
こちらの記事で詳細を解説していますので、併せてご覧ください。
退職者の情報管理
LINEのトーク履歴は従業員の端末に保存されるため、退職した従業員の手元に内部情報が残ってしまうことになります。従業員がプライベートのトーク履歴を保存する目的でバックアップした場合も、社内のトーク履歴がバックアップ対象に含まれます。そのため、退職時にトーク履歴を削除するなどの対策を行なっても効果は薄いと考えられます。
プライベートと業務の混同
プライベートでもLINEを利用する従業員の場合、休日でもLINEアプリを開く機会は多いでしょう。意図せずに業務上のメッセージを他人に見られる可能性があるほか、誤って業務に無関係の友人などに業務メッセージを送信してしまうケースも考えられます。
LINEでの情報漏洩リスクを抑えるためには
対策を施さないLINEのビジネス利用は、前述のようにリスクがあります。結論としては、ビジネス向けのコミュニケーションツールを利用することが直接的な解決策です。しかし、コストや利便性からLINEを利用せざるを得ないケースも存在するでしょう。
ここでは、LINEをビジネスに利用するうえで考えられる対策を紹介します。
従業員が適切にLINEを利用するための教育を実施する
LINEを利用する以上、情報の管理や取り扱いを従業員に委ねることになります。従業員が機密情報に対する正しい知識を持ち、適切に情報を扱うために何をすればよいのかを理解することが、安全性を高めることに繋がります。
そのためには各従業員への、セキュリティに対する考え方や端末の管理、機密情報の取り扱いに関するリテラシー教育の実施が効果的です。
LINEの利用について考えられる教育内容を紹介します。
- デバイスやアプリの最新化
OSやアプリのアップデートを確実に行なうことで、多くのセキュリティリスクから情報を守ることができます。 - パスコードの設定
デバイスとアプリ両方にパスコードを設定し、他人に情報を閲覧されにくい環境を保ちます。
適切なパスコードを設定することで、紛失や盗難に遭った際でも情報が守られる可能性が高まります。 - LINE上で不用意に機密情報をやりとりしない
LINEでのやり取りを機密性の低い連絡事項に限定することが、機密情報の保護に繋がります。
前述した誤送信や退職者の情報管理でも、機密情報が含まれないトーク履歴であれば問題になるケースは少なくなると考えられます。
従業員の教育は組織が計画的に実施し、全従業員の理解を促進することが大切です。
従業員の教育については、こちらの記事でも詳しく解説していますので、併せてご覧ください。
端末管理システムを導入する
デバイスの紛失や盗難対策として、従業員の端末を管理するシステムの導入も効果的です。従業員の個人所有デバイスでLINEを利用するBYOD運用をしているのであれば、MDM等のデバイス管理システムを導入することでセキュリティを高めることができます。
管理システムには、主に下記の種類があります。
- MDM
Mobile Device Managementの略称です。
デバイスを組織が管理することで、デバイスの安全性を高めることができます。
紛失や盗難が起きた際にリモートからデバイスのロックやデータの消去ができます。また、パスワードを指定回数間違えるとデータの消去を行なう、管理コンソールからデバイスを工場出荷状態にリセットする―なども可能です。
- MAM
Mobile Application Managementの略称です。
MDMと異なり、デバイスにインストールされたアプリケーションを管理する機能が搭載されています。
BYODで運用されている端末は公私混同が起こりやすく、業務データが意図せずにプライベート領域に保存されてしまうこともあります。MAMはデバイス内に業務用領域を作成し、業務に必要な機能は業務領域の中で完結させることができます。
業務データをプライベート領域に保存することを制限する、デバイスに業務データを保存されないようにする―といった設定も可能です。また、デバイスの盗難や紛失時には、業務用アプリケーションを遠隔で削除することで情報漏洩を防ぎます。
- MCM
Mobile Contents Managementの略称です。
業務で利用するデータ（コンテンツ）へのアクセス制限や、コンテンツへのアクセスログの取得が可能です。 - EMM
Enterprise Mobility Managementの略称です。
MDM、MAM、MCMの機能を統合したものです。
デバイスの用途が多岐にわたり、多くの管理機能が必要な場合に適しています。
端末管理システムにより、主に盗難や紛失時のリスクの軽減はできますが、BYODの場合はデバイスの所有者は従業員個人です。プライベートでも使用しているデバイスを組織に管理されることへの理解と協力が必須となります。
前提として、業務用ツールはビジネス向けサービスを活用し、利用するデバイスは組織から貸与する形が望ましいことは事実です。LINEをビジネス利用するのであれば、従業員が適切に情報を扱うリテラシー教育と、万が一の対策を組織として行なうことが大切です。
外部サービスを安全に利用するポイント
LINEに限らず、外部サービスをビジネスに利用するということは、他社の環境に機密情報が保存されるということです。しかし、外部サービスを全く利用せずに業務を行なうのも利便性の低下を招き、多くのケースで不利益のほうが大きくなるでしょう。
ここでは、外部サービスを利用するうえで理解しておくべきポイントを解説します。
サービス選定
自組織が求める機能とコストのバランスを考慮し、無理なく運用できるサービスを選定することが大切です。
高機能なサービスは様々な業務に対応できる柔軟性を持ちますが、仕組みが複雑で意図通りの運用を行なうのに専門知識が要求されることもあります。
自組織で仕組みを理解し、ポリシーに則った適切な利用が可能なサービスを選定しましょう。
適切な設定
多くのサービスでは利用者の利便性を高めるための設定項目を用意しています。サービス契約直後から利用できるよう、デフォルトで基本的な設定がされていますが、運用によってはそれが適切でないケースもあります。
設定項目を確認し、自組織の業務に合わせた設定にすることで堅牢なセキュリティ環境に近づくことができます。特に従業員に付与するアカウントの権限設定、データへのアクセス制限は漏れなく実施するべきです。
従業員へのリテラシー教育
前述しましたが、従業員のリテラシーは情報を取り扱ううえで最も重要な要素のひとつです。いくらセキュリティ環境を整備しても、利用者が不適切な行動を取ってしまえば情報漏洩発生のリスクは大きく増加します。
最低限のリテラシー教育を行なうだけでもリスクの軽減に繋がるため、組織として従業員のリテラシー向上に努めることが求められます。
情報漏洩を起こさないために
LINEのビジネス利用による情報漏洩のリスクと対策について解説しました。
業務を行なう上で利便性は大切な要素ですが、セキュリティ意識が高まっている現代では一度の情報漏洩で甚大なダメージを負ってしまうケースも多くあります。
顧客や取引先の情報を守るためにも、自組織の機密情報をどのように守るかを検討し、可能な限りの対策を行なうことが大切です。
“ChatGPT”の社内利用ルール、どう決める？
【AIサービス利用ガイドライン】を公開！
MOTEXが社内向けに作成したAIサービス利用ガイドラインをダウンロードできます。利用方針の決め方、作成ポイントの解説付き！
関連する記事
