データ窃取相次ぐ ＩＰＡが注意喚起

国内の金融機関や通信事業者をはじめとする幅広い事業者で、不正アクセスによる情報漏えい事案の公表が相次いでいる。特に、大量の個人情報を取り扱うオンラインサービスやアカウントサービスが不正侵入され、個人情報を含むデータが窃取される事案が相次いでいる。

こうした状況を受け、独立行政法人情報処理推進機構（ＩＰＡ）は10月９日、注意喚起を行った。経営者は情報漏えいを未然に防ぐため、至急、点検と対策の見直しを実施していただきたい。

【速やかに行うべき点検】
現段階では、特定のプロダクトやサービスの脆弱（ぜいじゃく）性を狙った攻撃とは断定されておらず、公表事例の傾向から、外部公開しているアプリケーションやサービスの侵害、アカウントの侵害が起点となっていることがうかがえる。これらを踏まえた、速やかに行うべき点検は以下の通り。

①外部に公開しているアプリケーションの精査
・自組織が独自に構築、運用している外部公開アプリケーションやサービスがあるかどうかを確認
・各アプリケーション、サービス単位で直近のログに異常が記録されていないか確認
・各アプリケーション、サービスの構成要素に未適用の脆弱性対応パッチ（更新プログラム）がないか確認

②自組織が利用している外部サービスの洗い出し
・自組織が利用している外部サービスを全て洗い出し
・サービス単位のログに異常が記録されていないか確認
・サービス単位のアカウントに異常がないか確認

③保有データの再点検
・「不要な情報は持たない」という基本原則の下、自らが保有する情報資産を正確に把握し、必要最小限にするなど、保有情報の再点検も必要

点検に加え対策の見直しを

【速やかに取り組むべき対策】
前述の点検で異常がなかったとしても、外部公開アプリケーション、外部から利用可能なサービス、保有するデータについては、以下に示すような、より強固な対策を取ることを検討していただきたい。

①外部に公開しているアプリケーションについて、その後取り組むべき対策
・外部公開範囲の見直し
・認証機能（多要素認証・パスワード）の強化
・アカウントへの権限付与の見直し
・ＡＰＩ（アプリケーション・プログラミング・インタフェース）連携などアプリケーション構成要素単位での管理状況の見直し
・アプリケーション構成要素単位での権限付与など見直し
・ログ取得内容、保持期間の見直し
・追加実装可能なセキュリティ対策の検討

②自組織が利用している外部サービスについて、その後取り組むべき対策
・認証機能（多要素認証・パスワード）の強化
・アカウント付与の範囲の見直し
・アカウント棚卸しの運用見直し
・ＡＰＩ連携などアプリケーション構成要素単位での管理状況の見直し
・ログ取得内容、保持期間の見直し
・適用可能なセキュリティ対策の検討<

③保有するデータについて、その後取り組むべき対策
・データ保有の是非の再検討
・データ保管場所の再検討
・データアクセスのログ取得内容、保持期間の見直し
・データの暗号化

【総合的なサイバーセキュリティ対策のさらなる推進】
緊急的な点検、対策の後は、社内体制の整備だけでなく、国外拠点や取引先まで考慮した対応が必要である。経済産業省「サイバーセキュリティ経営ガイドライン」などを参考にしつつ、経営者のリーダーシップの下、取り組みを進めていただきたい。

今後の注意点や更新はＩＰＡの注意喚起ページに随時追記されるので、併せて参照いただきたい。

（独立行政法人情報処理推進機構・江島将和）

注意喚起の詳細についてはこちらを参照