画面の透かしが情報漏えい対策に有効な理由とは

要配慮個人情報を扱うサービスで 厳重なセキュリティ対策を実施

近年、情報の漏えいや紛失事故が報じられることが増えている。まずはその実態を確認しておきたい。東京商工リサーチの調査によると、2025年に上場企業と子会社が公表した個人情報の漏えい・紛失事故は180件で、過去最多を更新した前年よりわずかに減少したが、依然として多い件数を記録している。また、漏えいした個人情報は実に3000万人分以上と2024年からほぼ倍増している。^※1

漏えい・紛失事故 年次推移

原因はランサムウェアなどの不正アクセス被害が約6割を占めるが、誤表示や誤送信、紛失、不正持ち出しといった例も報告されている。不適切な情報管理やガバナンス意識の低さに起因する事例が目立ってきているのは、新型コロナウイルス感染症（COVID-19）の流行を機にテレワークを導入する企業が急増したことも一因であることが予想される。

また、情報管理リテラシーが高く、セキュリティリスク対策を十分に整えている企業でも、画面のキャプチャや社外秘情報の出力など、想定されるリスクは枚挙にいとまがない。ましてや要配慮個人情報を扱う企業なら、より慎重にならざるを得ないだろう。DeSCヘルスケアもそんな企業の一つだ。

同社は、ディー・エヌ・エーのグループ会社としてヘルスケア事業を担っている。ディー・エヌ・エー IT本部 セキュリティ部の佐藤雄一氏は、DeSCヘルスケアの役割についてこう語る。

「ディー・エヌ・エーと言えば、ゲームやライブストリーミングサービスを連想される方が多いと思いますが、エンターテインメントを通した社会課題の解決も重視しており、その一分野としてヘルスケアやメディカルに関連する事業も展開しています。DeSCヘルスケアもそうした中の一つです」（佐藤氏）

佐藤氏は、ディー・エヌ・エーの全社横断のセキュリティ組織「DeNA CERT」に所属するとともに、CISA（公認情報システム監査人）、CISM（公認情報セキュリティマネージャー）、CISSP（公認情報システムセキュリティプロフェッショナル）といった国際セキュリティ資格を保有し、経済産業省が認定する日本の国家試験「IPA情報処理技術者試験」の問題作成も担当する。いわば情報セキュリティのプロ中のプロだ。

企業理念としてテクノロジーとエンターテインメントの融合をうたうDeSCヘルスケアの主力事業は、健康管理アプリサービス「kencom」の提供だ。このサービスは、厚生労働省が推進する「データヘルス計画」に取り組む健康保険組合を中心に800万人以上に提供されており、データを活用しながら楽しく健康の維持・増進を図るというものだ。これは、健康や医療といった各種データ、すなわち漏えいや紛失が許されない要配慮個人情報を扱うことを意味する。佐藤氏によると、DeSCヘルスケアでは、こうした情報を扱うクローズドな環境として、物理的に防御レベルを上げた「セキュリティルーム」を設置しているという。

「ネットワークを隔離させているのはもちろん、監視カメラを設置し、入室者はノートパソコンやスマートフォンといった私物の持ち込みも禁止。徹底したセキュリティ環境でのみ要配慮個人情報を扱うことで、万が一の情報漏えいを未然に防いでいます」（佐藤氏）

わずかに残る漏えいリスクをつぶす ラストワンマイルとして導入

要配慮個人情報を扱う企業にとって、セキュリティルームを設置して情報漏えいを防ぐのは効果的な手法だ。しかし、強固な物理的対策が施されていたとしても、人の行動に“魔が差す”懸念がなくなるわけではない。こうしたケースで起こり得るのが、パソコン画面のキャプチャやスマートフォンによる撮影、出力した印刷物の複写や持ち出しだ。

厳重の上にも厳重な物理的なセキュリティ環境を構築しているDeSCヘルスケアだが、顧客である健康保険組合からの監査を毎年受けることになっており、「禁止されていてもスマートフォンや撮影機器が持ち込まれることは本当にないのか？」「実際に持ち込まれて不正が起きた際に実行した個人や漏えい経路は特定できるのか？」といった指摘を受けることが過去にあったと佐藤氏は言う。

こうした懸念を払拭する対応として、同社が3年前に導入したのが、サイバーフォートレスが提供する情報漏えい対策ソリューション「スクリーンウォーターマーク」だ。

サイバーフォートレスは、企業のIT環境や情報資産を守るサイバーセキュリティを専門とする企業で、ITプロフェッショナルサービス事業とセキュリティサービス事業を両輪としている。「スクリーンウォーターマーク」は、米国カリフォルニアに拠点を置くxSecuritas社が開発し、サイバーフォートレスが日本国内の販売店としてサービスを提供しているという。同社の阿多貴大氏は、同ソリューションの特徴をこう説明する。

「パソコン画面にユーザー名や端末情報などの透かしを表示させ、画面キャプチャやスマートフォンによる撮影を抑止するというのが基本機能です。加えて、端末側でのキャプチャ制限、操作ログの記録と一括管理、電子透かしの埋め込み、プリント時の透かし印刷といった多様な機能があり、心理的に不正行為を防ぐだけでなく、仮に不正行為があっても端末や日時を追跡できるのが強みとなっています」（阿多氏）

「スクリーンウォーターマーク」は、機能別に4つのプランを用意している。

透かし表示やログ管理といった基本機能を備えた「SW Basic」、透かし印刷機能を追加した「SW Print」、Webカメラ映像にも透かしを表示できる「SW Webcam」、そして全機能を搭載した「SW Plus」の4つだ。

また、動作環境に応じてクラウド版とオンプレミス版を選択できる。契約は10ライセンスから可能で初期費用も不要。Mac OSにも対応しており、幅広いニーズにきめ細かく応えられるサービス構成となっている。

他社とここが違う！ 「スクリーンウォーターマーク」が選ばれる4つのポイント

DeSCヘルスケアが「スクリーンウォーターマーク」を導入した決め手は、情報漏えい防止のラストワンマイルになると判断したからだと佐藤氏は言う。

「従来より物理的な隔離やネットワーク制限、監視カメラ、私物持ち込み禁止といった厳格な対策を運用してきましたが、健康保険組合様が求める水準を満たすには、人為的な流出のわずかな可能性もつぶしておく必要があり、ここに合致したのが『スクリーンウォーターマーク』でした」（佐藤氏）

導入前には他社サービスとの比較も実施したが、テレワークに特化した製品が多くDeSCヘルスケアの使用スタイルにはマッチしなかったと佐藤氏は振り返る。

「テレワーク向けの製品には、AI等で第三者の映り込みや撮影機器を検知し、即座に画面をロックする機能を持つものが多くありますが、当社のように複数の人がセキュリティルームで業務を行う場合はむしろそれが業務の妨げになります」（佐藤氏）

一方、「スクリーンウォーターマーク」はあくまで透かしによるリスクコントロールなので、端末ロックのような形で業務がストップすることがない。これからセキュリティを強化したい企業はもちろん、すでに十分なセキュリティ対策を整備している企業にもマッチするのが「スクリーンウォーターマーク」の優位性だと言えよう。

顧客からの信頼獲得に加え、 社員の潔白を証明する意義も

「スクリーンウォーターマーク」は、正式導入前に30日間の無料トライアル期間が設けられていて機能を試すことができる。

「セキュリティルームでの業務は細かい数値やデータを見るため、透かしが強すぎると視認しづらくなるのではないかという懸念がありましたが、透かしの濃淡が細かく調整できるので問題ないことが確認できました。また、不明点にもすぐに対応いただき、納得して導入することができました」（佐藤氏）

サイバーフォートレスの阿多氏によると、「専門のサポートチームを組織して、クラウドでもオンプレミスでも導入から保守まで迅速に支援させていただいています」とのことだ。

DeSCヘルスケアが「スクリーンウォーターマーク」を導入して3年、セキュリティが強固になったことに加え、佐藤氏は以下の2点を導入効果として挙げる。

「1つは、導入後の健康保険組合様の監査で高い評価を得ることができたこと。これはお客様の信頼をいただく上で重要なポイントです。そしてもう1つは、社員を守るための対策になっているという気づきです。セキュリティ対策はどうしても監視のイメージがありますが、内部不正と無縁の社員にとっては身の潔白を証明するものになるため、安心して業務に集中できる環境を提供できるようになったと感じています」（佐藤氏）

「kencom」の提供先は健康保険組合と自治体だが、地域でのヘルスケアの重要性がますます高まる中、今後は特に自治体への展開強化を一層推進していくという。「そういった意味でも、物理的対策との多層防御で内部不正対策が強化できたのは大きな意義があります」と佐藤氏。

サイバーフォートレスの阿多氏もこの言葉を受け、「機密情報であることを明確にすることで抑止効果が生まれ、万一の際にも流出元を特定できる安心感があります。これこそが『スクリーンウォーターマーク』の意義です。今後もユーザー企業様が日常業務の中で情報漏えい対策を実施できる環境づくりを支援していきたいと思います」と応じる。