IPAが不正アクセス漏えいなどの事案増で事業者に要請、「速やかに実施すべき点検と対策」まとめ

情報処理推進機構（IPA）は10月9日、不正アクセスによる情報漏えいなどの事案が相次いでいることを受け、事業者向けに「速やかに実施すべき対策等」を公表した。大量の個人情報や機微な情報を取り扱う事業者の経営者に対し、サイバーセキュリティリスクを重要な経営課題として認識し、至急、点検と見直しを進めるよう求めている。

今回の注意喚起は、IPAの「重要なセキュリティ情報」の「注意」区分として掲載。背景には、国内の金融機関や通信事業者など幅広い業種で、不正アクセスによる情報漏えいの公表が相次いでいる状況がある。特に、オンラインサービスやアカウントサービスなど、大量の個人情報を扱うシステムへの侵入やデータ窃取が続いていると指摘した。

緊急点検の対象は「外部公開アプリ」「外部サービス」「保有データ」

IPAが速やかに実施すべき点検として示したのは、大きく3項目だ。

1. 外部公開アプリケーション・サービスのログと脆弱性を確認

1つ目は、自社が構築・運用する外部公開アプリケーションやサービスの洗い出しだ。対象となるシステムを把握したうえで、それぞれの直近のログに異常がないかを確認するよう求めた。ログの確認期間は直近1か月を対象とし、その後3か月へと段階的に広げることも推奨している。

あわせて、未適用の脆弱性対応パッチがないかを確認し、未適用のものがあれば速やかに適用するよう促した。

2. クラウドやVPNなど外部サービスの利用状況を把握

2つ目は、自組織が利用している外部サービスの洗い出し。クラウドサービスやVPNサービスなどについて、組織全体だけでなく、部署単位での利用も含めて網羅的に把握するよう要請した。

さらに、サービスごとのログ保有期間や、誰がいつ、どのようにログを確認できるかも整理する必要がある。そのうえで、ログイン失敗の増加、ログイン元のIPアドレスやログイン時間の異常、身に覚えのないアカウントの作成、無効化したはずのアカウントの再有効化などを点検するよう求めた。

3. 保有データを見直し、必要最小限に絞る

3つ目は、保有データの再点検だ。IPAは、情報が窃取されると、悪用されるだけでなく、情報を「公開する」と脅迫されたり、不正に売買されたりするなど、二次被害につながる恐れがあると指摘した。

「不要な情報は持たない」という原則のもと、保有する情報資産を正確に把握し、必要最小限にとどめるよう求めている。

また、今後、公的機関やセキュリティベンダーなどから、不審なIPアドレスやログの痕跡といった調査に活用できる情報が公表される可能性があるとして、情報収集の強化も呼びかけた。

異常を確認した場合はインシデントと判断し、詳細調査を

IPAは、外部公開アプリケーションや外部サービスで異常なログやアカウントが見つかった場合、速やかにセキュリティインシデントと判定し、対応を進めるよう求めた。

情報漏えいの可能性も考慮し、専門のセキュリティベンダーに詳細調査を依頼することも「強く推奨する」と明記している。

点検で異常がなくても、多要素認証や権限管理を強化

IPAは、緊急点検で異常が見つからなかった場合でも、外部公開アプリケーションや外部サービス、保有データについて、追加のセキュリティ対策を講じるよう求めている。

主な対策は次の通り。

• 外部公開アプリケーション：外部への公開範囲の見直し、多要素認証など認証機能の強化、アカウント権限の見直し、API連携などの構成要素単位での管理状況の確認、ログの取得内容・保持期間の見直し、追加可能なセキュリティ対策の検討
• 外部サービス：多要素認証の強化、アカウント付与範囲の見直し、アカウントの棚卸し運用の見直し、API連携などの管理状況の確認、ログの取得内容・保持期間の見直し、適用可能なセキュリティ対策の検討
• 保有データ：データを保有し続ける必要性の再検討、保管場所の見直し、データアクセスログの取得内容・保持期間の見直し、データの暗号化

EC事業者は会員基盤や委託先、外部連携を総点検

EC事業者にとっても、今回の要請は重要だ。自社ECサイトや会員基盤、アプリ、CRM、マーケティングツール、決済連携、物流・カスタマーサポートなど、外部公開システムや外部サービス、委託先との連携が多層化しやすいためだ。

特に、会員情報や購買履歴、配送先、問い合わせ履歴などを幅広く保有する事業者には、保有データの最小化に加え、ログ管理やアカウント管理の徹底が求められる。

IPAは、十分なサイバーセキュリティ対策を進めるには、緊急点検や対策だけでなく、社内体制の整備や、国外拠点・取引先まで考慮した対応が必要だと説明。経営者が認識すべき原則として、次の3点を挙げた。

• サイバーセキュリティリスクを重要な経営課題として捉える
• 自社だけでなく、国内外の拠点やビジネスパートナー、委託先を含むサプライチェーン全体に目を配る
• 平時・緊急時を問わず、関係者と積極的にコミュニケーションを取る

10月9日には、業界団体を通じた注意喚起も行われ、政府全体でも経営トップ主導による対策強化を求める動きが広がっている。EC事業者にとっても、情報システム部門だけの問題として扱うのではなく、会員基盤や委託先の管理を含めた全社的な課題として、点検と対策を急ぐ必要がある。