国家サイバー統括室、個人情報の漏えいなどにつながる不正アクセスへの対策を呼びかけ

内閣官房の国家サイバー統括室は2026年11月5日、Webサイトやモバイルアプリを通じて個人情報を扱う事業者向けに「個人情報の漏えいなどにつながる不正アクセスへの対策について」を公表した。近年増加するサイバー攻撃に対し、基本的なセキュリティ対策の徹底を求めている。

アプリ開発時の対策不足、設定不備などが漏えいの原因に

国家サイバー統括室は、最近の情報漏えい事案について、アプリ開発時の対策不足、ウェブサイトの設定不備、サポート終了ソフトや既知の脆弱性が未対策のソフトの継続利用などが原因と見られるケースを複数確認したとしている。

攻撃者は、インターネット上に公開されたWebサイトなどを広く調査し、侵入経路を見つけて個人情報を窃取していると見られる。調査や攻撃にAIが使われている可能性もあり、従来の診断でリスクが低いと評価された弱点でも、複数の問題が組み合わさることで侵入につながる恐れがあるという。

攻撃の大規模化により、事業規模を問わず幅広い事業者が標的となり得るとして、経営層を含めた組織的な対策を求めている。

ソフトウェアの脆弱性と外部公開資産を継続的に点検

ソフトウェア構成や脆弱性情報を把握・管理

運用・管理段階では、OSやミドルウェア、フレームワーク、ライブラリなど、利用するソフトウェアの構成要素やバージョン、利用箇所を把握・管理する。脆弱性情報や悪用動向を継続的に収集し、自社システムへの影響を確認したうえで、修正プログラムの適用やバージョンアップなどを行うよう促した。

脆弱性への対応は、深刻度や実際の悪用状況、システムの重要度などを踏まえて優先順位と期限を定める。すぐに修正できない場合は、影響を受ける機能の停止やアクセス制限などの暫定措置を講じ、是正状況を継続的に管理する。

インターネットに公開している資産や設定を点検

インターネットに公開しているIPアドレスやサービス、ウェブアプリ、APIなどを洗い出し、管理対象から漏れた資産や意図しない公開がないか確認。管理画面やデバッグ機能、開発・検証環境、データベース管理機能など、業務上不要なものは停止・制限する。

クラウドストレージの外部共有設定、ファイアウォールの通信許可設定、ウェブサーバー上のファイル公開設定も点検。設定を修正した後は、意図しない公開が解消されたことを確認する。

脆弱性診断を継続し、AIの活用も検討

脆弱性診断や点検は、公開前だけでなく、重要な変更時や運用開始後も継続する。AIを活用した診断ツールの利用も検討し、攻撃経路の探索や脆弱性の検証、影響分析などの効率化を図る。一方、AIの評価結果については根拠や妥当性を確認し、最終的な対応判断は人が行うよう求めている。

ログの監視と不正アクセスの早期検知

不審な認証や権限の不正使用、大量のデータ取得などを早期に検知するため、ウェブサーバーやAPIゲートウェイ、認証基盤、クラウドサービスなどのログを取得し、継続的に監視することも挙げた。侵害の兆候を検知した場合に、ログやシステムの状態から不正アクセスの有無や影響範囲を速やかに調査できる体制を整える。

設計・開発の初期段階からセキュリティを組み込む

要件定義から運用まで全工程でセキュリティを考慮

設計・開発段階では、要件定義から運用までの全工程にセキュリティを組み込む「セキュリティ・バイ・デザイン」を推進する。認証・認可、暗号化、ログ取得、アクセス制御などの要件を設計時に明確にし、管理機能や運用機能を不用意にインターネットへ公開しない構成を検討する。

実装・テスト段階で脆弱性を早期に検出

実装時には、静的解析やソフトウェア構成解析などを活用し、危険な関数の利用やコーディング上の問題、OSS・ライブラリに含まれる既知の脆弱性を早期に検出する。テスト段階でも、実際に稼働するアプリを対象に診断を行い、認可や入力値検証、セッション管理などの問題をリリース前に修正する。

APIのアクセス制御や認証情報の管理を徹底

アプリが利用するAPIについては、利用者にアクセス権限がある情報や機能かどうかをサーバー側で検証し、最小権限の原則に基づくアクセス制御を実装する。

APIキーやアクセストークンなどの認証情報をソースコードに埋め込まず、安全に保管・管理することも求めた。また、認証機能などへの過剰なリクエストを制限し、不審なアクセスを検知する仕組みも必要としている。

公開前に脆弱性診断や模擬攻撃テストを実施

個人情報を扱うウェブアプリやシステムでは、公開前に脆弱性診断や模擬攻撃テスト（ペネトレーションテスト）を実施する。製品やプラットフォームに存在する既知の脆弱性だけでなく、自社や委託先が開発したアプリやバックエンド機能に固有の問題も診断・是正の対象とする。

委託先やOSSを含めてサプライチェーンを管理

委託先の接続経路やアカウントを管理

委託先や保守事業者の環境を足掛かりに、発注元のシステムに侵入されるケースも確認されている。委託先が利用するVPN、リモートデスクトップ、保守用回線などを洗い出し、多要素認証を適用する。

適用が難しい場合は、接続元の制限や作業時のみの接続、作業記録の取得などで補う。作業を終えた委託先のアカウントや不要な管理者権限も棚卸しし、無効化・縮小する。

契約にセキュリティ要件やインシデント対応を明記

発注仕様書や業務委託契約には、再委託の手続き、インシデント発生時の通知義務、契約終了時のデータ消去などを盛り込む。委託先に対策を求める際は、費用負担や実施方法を十分に協議し、一方的に負担を押し付けないよう留意することも明記した。

OSSや外部ライブラリの脆弱性を継続的に監視

OSSや外部ライブラリについては、利用している構成部品を把握し、深刻な脆弱性が公表された際には委託先と連携して影響を速やかに調べる。

委託開発では、ソフトウェア部品表（SBOM）の提出を契約・仕様に定め、検収時に既知の脆弱性やライセンスを確認する。納品後も、ソフトウェア構成解析ツールなどを使って新たな脆弱性情報を監視するよう求めている。

国家サイバー統括室は、今回示した対策に加え、VPNなどインターネットに露出したネットワーク機器の脆弱性を狙う攻撃や、標的型メール、DDoS攻撃、AIの悪用にも備える必要があると指摘。経営トップの判断の下、システムの特性や保有情報に基づいてリスクを評価し、必要な対策を強化するよう呼びかけている。