breach-detection-system

漏えい検知システムの実装

概要

効果的な漏えい検知は、Art. 33 に基づく適時の通知の前提条件です。GDPR は特定の検知技術を定めていませんが、Art. 32 は適切な技術的および組織的措置を求めており、Art. 33(1) は事実上、漏えいを迅速に検知する義務を課しています。漏えいの発見に数か月かかっていては、管理者は72時間以内に通知できません。このスキルでは、SIEM との統合、DLP アラート、行動分析、内部脅威の監視など、個人データ漏えい検知の技術アーキテクチャを扱います。

漏えい分類の分類体系

レベル 1：CIA トライアドによる分類

種類	定義	検知方法
機密性	個人データの不正な開示またはアクセス	DLP アラート、アクセスログの異常、データ持ち出しの検知
完全性	個人データの不正な変更	ファイル整合性の監視、データベース監査ログ、チェックサム検証
可用性	個人データへのアクセス不能または破壊	システム稼働状況の監視、バックアップ検証、ランサムウェアの検知

レベル 2：攻撃ベクトルによる分類

ベクトル	説明	主な検知方法
外部攻撃	ネットワーク境界の外部からの不正アクセス	IDS/IPS、ファイアウォールログ、認証失敗
内部脅威	権限を持つユーザーが許可された範囲を超えて行動すること	UEBA、DLP、アクセスパターン分析
第三者の侵害	処理者またはベンダーに起因する漏えい	ベンダーの監視、API の異常検知
偶発的な開示	データ漏えいにつながる人為的ミス	DLP コンテンツ検査、メールゲートウェイのフィルター
システム障害	データの損失または破損を引き起こす技術的な障害	インフラストラクチャの監視、バックアップの検証
物理的な侵害	データを含む物理デバイスの紛失または盗難	資産の追跡、デバイス暗号化の検証

レベル 3：データ機密性による分類

レベル	データの種類	検知の優先度
重大	Art. 9 の特別カテゴリー、Art. 10 の犯罪データ、金融認証情報	リアルタイムアラート、即時エスカレーション
高	政府発行識別子、金融口座データ、認証情報	リアルタイムアラート、15分以内のエスカレーション
中	連絡先情報、雇用記録、購入履歴	ほぼリアルタイム（5分単位でバッチ処理）、1時間以内のエスカレーション
低	公開されている事業用連絡先データ、個人データ以外のメタデータ	バッチ処理（1時間ごと）、毎日のレビュー

SIEM 統合アーキテクチャ

イベントソースの構成

Stellar Payments Group は、主要な SIEM プラットフォームとして Splunk Enterprise Security を導入しています。漏えい検知のため、以下のログソースを取り込みます。

ソース	ログの種類	取り込み方法	1日あたりのイベント数
Active Directory	認証、認可、グループの変更	Splunk Universal Forwarder	2.4M
AWS CloudTrail	API 呼び出し、コンソールログイン、リソースの変更	SQS 経由の S3-to-Splunk	8.7M
PostgreSQL 監査	クエリログ、スキーマの変更、認証失敗	syslog-ng から Splunk HEC へ	14.2M
Palo Alto PA-5260	ファイアウォールセッション、URL フィルタリング、脅威防止	syslog から Splunk へ	45.3M
CrowdStrike Falcon	エンドポイントの検知、プロセス実行、ファイル書き込み	Falcon SIEM Connector	6.1M
Microsoft 365	メール監査、SharePoint アクセス、Teams DLP	Splunk Add-on 経由の Microsoft Graph API	3.8M
Okta	SSO 認証、MFA イベント、管理者の変更	Okta Event Hook から Splunk HEC へ	890K
AWS GuardDuty	脅威インテリジェンスの検出結果、異常検知	CloudWatch から Splunk へ	12K

漏えい検知の相関ルール

ルール 1：大量データアクセスの異常

Trigger: Single user account accesses more than 500 unique personal data records within a 30-minute window.
Data sources: PostgreSQL audit logs, application access logs.
Severity: High
Action: Create incident ticket, alert SOC analyst, notify DPO on-call.
False positive mitigation: Whitelist batch processing service accounts (reviewed quarterly). Flag whitelisted accounts if access occurs outside scheduled batch windows.

ルール 2：データ持ち出しの兆候

Trigger: Outbound data transfer exceeding 50MB to an unclassified external destination from a system containing personal data.
Data sources: Palo Alto firewall, CrowdStrike network telemetry, DLP alerts.
Severity: Critical
Action: Automated network isolation of source endpoint, SOC analyst investigation, DPO notification.
False positive mitigation: Baseline normal data transfer patterns per endpoint. Whitelist approved SaaS destinations (Salesforce, Workday, etc.).

ルール 3：特権アカウントの異常

Trigger: Database administrator account performs SELECT queries on personal data tables outside of change management windows OR from an unrecognized source IP.
Data sources: PostgreSQL audit logs, Okta authentication logs, IP geolocation.
Severity: High
Action: Alert SOC lead and database security team. Log full query text for forensic review.

ルール 4：ランサムウェアの挙動パターン

Trigger: More than 20 file rename/encrypt operations per second on file servers or database storage volumes, OR known ransomware file extension creation (.lockbit, .encrypted, .crypt).
Data sources: CrowdStrike Falcon, Windows file audit logs, storage IOPS monitoring.
Severity: Critical
Action: Automated isolation of affected system, activate incident response team, preserve forensic image.

ルール 5：認証の総当たり攻撃

Trigger: More than 50 failed authentication attempts against personal data systems within 10 minutes from a single source, OR more than 200 failed attempts across multiple accounts from the same source within 30 minutes (password spray).
Data sources: Active Directory, Okta, application authentication logs.
Severity: Medium (escalates to High if followed by successful authentication).
Action: Block source IP at firewall, SOC investigation, check for compromised credentials.

DLP アラートの設定

メール DLP ポリシー

ポリシー名	検出内容	アクション	重大度
PII の外部送信	正規表現：ドイツの身分証明書番号（Personalausweisnummer）、IBAN、クレジットカード番号、健康保険番号	ブロック＋暗号化＋DPO にアラート	高
大量の PII	メール本文または添付ファイルに、構造化された個人データ（氏名＋メールアドレス／電話番号／住所）が 10 行を超えて含まれる場合	ブロック＋送信者のマネージャー＋SOC にアラート	重大
特別カテゴリ	健康診断、遺伝子マーカー、生体認証テンプレート、労働組合に関する記述に一致するキーワード／パターン	ブロック＋DPO にアラート	重大
国境を越えた転送	承認済みの移転メカニズムを使用せず、十分な保護水準がない国の受信者に個人データを送信	レビューのため保留＋プライバシーチームにアラート	中

エンドポイント DLP ポリシー

ポリシー名	検出内容	アクション
USB への PII コピー	個人データを含むファイルをリムーバブルメディアにコピー	ブロック（DPO 承認済みチケットによる例外を除く）
クラウドへの PII アップロード	個人データファイルを未承認のクラウドサービスにアップロード	ブロック＋SOC にアラート
PII の大量印刷	個人データが 50 件を超えて含まれる印刷ジョブ	ラインマネージャー＋SOC にアラート
PII のスクリーンショット	個人データのレコードを表示するアプリケーションの画面キャプチャ	ログに記録＋SOC にアラート（パターン分析用）

異常検知と UEBA

行動ベースライン

ユーザーとエンティティの行動分析（UEBA）では、各ユーザーおよびシステムアカウントの通常のパターンを確立します。

ベースライン指標	正常範囲	異常しきい値	検知期間
1 日あたりのレコードアクセス数	ユーザーごとの過去の平均値	平均を標準偏差の 3 倍上回る	ローリング 30 日間のベースライン
アクセス時間のパターン	過去の勤務時間	アクセス時間が過去の 95 パーセンタイルの範囲外	ローリング 90 日間のベースライン
データのダウンロード量	ユーザーごとの過去の平均値	2 時間以上連続して平均を標準偏差の 2 倍上回る	ローリング 14 日間のベースライン
地理的なアクセス場所	過去の IP ジオロケーション	過去 90 日間に確認されていない新しい国	ローリング 90 日間のベースライン
アプリケーションのアクセスパターン	過去のアプリケーション構成	過去 60 日間に確認されていない新しい個人データアプリケーションへのアクセス	ローリング 60 日間のベースライン

内部脅威の指標

内部脅威を検出するための複合リスクスコアでは、複数の低重大度の指標を組み合わせます。

指標	重み	ソース
通常の勤務時間外における個人データシステムへのアクセス	15	Okta＋アプリケーションログ
HR または顧客データベースからの大量データダウンロード	25	DLP＋データベース監査
会社支給デバイスからの個人用メールまたはクラウドストレージの使用	10	CrowdStrike＋プロキシログ
退職予告期間中または業績改善計画の対象である状態	20	HR システムとの連携（Workday）
役割の範囲外のデータへのアクセス	20	ロールベースのアクセス比較
セキュリティ制御の無効化または回避	30	エンドポイントエージェントの改ざんアラート
制限された個人データへのアクセス失敗の繰り返し	10	アプリケーションのアクセスログ

複合スコアが 60 を超えると、監視を強化します。スコアが 80 を超えると、SOC アナリストによる調査と DPO への通知を開始します。

プライバシーインシデント対応との連携

自動化ワークフロー

1. SIEM の相関ルールまたは DLP ポリシーによってアラートがトリガーされます。
2. アラートに、ユーザー ID、影響を受けたシステムのデータ分類、データ主体数の推定値などのコンテキストデータが追加されます。
3. 影響を受けたシステムに個人データが含まれると分類されている場合（CMDB でタグ付けされている場合）、アラートが ServiceNow のプライバシーインシデントキューに自動的に複製されます。
4. プライバシーインシデントコーディネーターが 30 分以内に初期トリアージを実施します。
5. 個人データ侵害が確認された場合、第 33 条の 72 時間の期限の起算が開始され、DPO に通知されます。

検知から通知までの目標時間

フェーズ	目標	担当者
検知からアラートまで	5 分未満	SIEM プラットフォーム（自動）
アラートからトリアージまで	30 分未満	SOC アナリスト
トリアージから侵害の確認まで	4 時間未満	SOC リード + プライバシーコーディネーター
侵害の確認から DPO への通知まで	1 時間未満	プライバシーインシデントコーディネーター
DPO への通知から 72 時間の期限の開始まで	即時	DPO

監視と調整

月次レビューの実施頻度

1. すべての侵害検知相関ルールについて、誤検知率を確認します。目標：誤検知率 15% 未満。
2. EDPB ガイドライン 01/2021 の既知の侵害シナリオに照らして、検知ギャップ評価を分析します。
3. 組織の変更（新規採用、退職、役割の変更）に応じて、行動ベースラインを更新します。
4. 個人データを扱うすべての新しいシステムが SIEM および DLP プラットフォームに登録されていることを検証します。
5. 四半期ごとに、侵害を想定したシナリオを用いて、検知から通知までのワークフローをエンドツーエンドでテストします。