内閣官房国家サイバー統括室（NCO）は10月9日、不正アクセスによる情報漏えいなどの事案を踏まえ、組織全体で取り組むべき対策について注意喚起を発表した。「もはや情報システム部門だけの問題ではありません」として、情報資産の適切な管理や保有情報の最小化、アカウント管理、ログの取得・監視・分析を求めている。同日、独立行政法人情報処理推進機構（IPA）も注意喚起を発表したほか、総務省、経済産業省、金融庁も関係機関や事業者に対応を呼びかけている。
事案の詳細
NCOの注意喚起は、コミュニティサービス「Commune」「Commune for Work」への不正アクセスにより、推計約30万人の個人情報が漏えいした事案など、外部サービスや委託先を経由した情報漏えい事案を踏まえたもの。ヤマハ、スズキ、湖池屋、青森県など、多くのコミュニティサイトが影響を受けたと報じられている。
NCOは具体的な対策として、保有する情報資産の適切な管理、保有情報の最小化、適切なアカウント管理、ログ取得・監視・分析の強化などを挙げた。IPAはこれに加え、外部に公開しているアプリケーションの精査、自組織が利用している外部サービスの洗い出し、保有データの再点検を柱として示している。
同日、総務省と経済産業省は、NCO、IPA、JPCERT/CC、個人情報保護委員会などの発表を確認し、セキュリティ対策に取り組むよう注意喚起した。金融庁も金融機関などに注意喚起を行った。個別事案ごとの被害範囲や侵入経路、攻撃者、攻撃に使われた具体的な手法については、記事で確認できる範囲では詳細は現時点で不明。
影響と背景
複数の政府機関・関係機関が相次いで注意喚起を行った背景には、組織が直接管理するシステムだけでなく、外部サービス、委託先、公開アプリケーションなどを経由して情報漏えいが発生するリスクがある。保有情報の管理や外部サービスの利用状況を情報システム部門だけに任せず、経営層や各部門を含む組織全体で把握する必要がある。
「情報システム部門だけの問題ではない」というメッセージは、技術的な防御に加え、どの情報を保有するか、誰がアクセスできるか、外部サービスをどのように利用するかを、組織として判断・管理することを求めるものだ。
対策・今後の展望
- 保有情報と外部サービスの総点検：保有する個人情報・機密情報を洗い出して必要性を確認し、利用中の外部サービスや委託先、公開アプリケーションを一覧化する。
- アカウントとアクセス権の管理：不要なアカウントや権限を削除し、多要素認証の導入、管理者権限の限定、退職・異動時の権限見直しを進める。
- ログ取得・監視・分析の強化：重要システムや外部サービスのログを取得し、不審なアクセスを早期に把握できる状態を整える。
- 組織全体での対応体制整備：経営層、情報システム部門、総務、法務、広報、各事業部門の役割と連絡先を明確にし、インシデント発生時の判断・報告・情報保全の手順を定める。
- 関係機関の情報確認：NCO、IPA、総務省、経済産業省、金融庁、JPCERT/CC、個人情報保護委員会などが発信する情報を継続的に確認し、社内のルールや運用に反映する。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用やセキュリティ診断では、情報システム部門に任せきりで、外部サービスの利用状況、連絡網、意思決定の手順が整理されていない例がある。アラートが発生しても、誰が判断し、どのサービスを止め、どの情報を保全するか決まっていなければ、初動が遅れる。
【専門家でない人への平易な解説】例えるなら、鍵の管理を担当者一人に任せ、他の人が重要な扉や合鍵の所在を知らない状態のようなものだ。不正アクセスへの対策は、技術的な防御だけでなく、保有情報や外部サービスを把握し、組織全体で対応できる段取りを整えることが欠かせない。
【中小企業が今週中にできること】まず、保有する重要情報、利用中の外部サービス、事故時の連絡先と判断者を紙1枚にまとめ、経営者・総務・現場責任者・情報システム担当者で共有する。次に、不要なアカウントや権限がないか確認し、NCOやIPAの注意喚起を社内で回覧する。最後に、休日や夜間の連絡方法と初動手順を実際にテストする。
参照: 国家サイバー統括室、「もはや情報システム部門だけの問題ではありません」と不正アクセス事案を踏まえ注意喚起 IPA、総務省、経産省、金融庁も注意喚起を実施