2015年9月9日報道 年金機構に対するサイバー攻撃に関する専門家の見解

2015年9月9日6時30分に日本経済新聞電子版から、『もはやサイバー戦争　「年金機構」報告書に見る危機』というタイトルで、ラック社ＣＴＯの西本氏の見解記事がネット配信されていた。

長文のため、かなり省略して紹介する。

 

日本年金機構の情報流出事件に関する３種類の報告書が８月下旬、相次いで公表された。
当事者である年金機構、その監督官庁である厚生労働省の第三者委員会、そして政府のサイバーセキュリティ戦略本部がそれぞれ取りまとめたものだ。

海外から国家レベルの組織が個人情報を狙ってくるサイバー攻撃は、もはや「戦争」というべき激しいものになりつつある。
報告書を読み解き、脅威に備えなければならない。

報告書を読み比べると、事件に対するそれぞれのスタンスの違いがわかって興味深い。
それ以上に、「標的型攻撃」と呼ばれる高度なサイバー攻撃の実態、年金機構側の問題点などが具体的かつ率直に記され、多くの教訓を得ることができる。

まず教訓の１つは、情報が漏洩していると自ら気づくことは難しいと認識することだ。

中小規模の一般的な企業や組織では、中央官庁や大手企業並みに高度なセキュリティの投資ができない。
まずは、経営レベルでそういう認識がないし、認識があっても予算がない。予算が用意できても人はおらず、人がいても運用ができないという現実があるからだ。
ネットの安全情報をまとめる社団法人、ＪＰＣＥＲＴコーディネーションセンターなど外部機関からの連絡で、初めて自分の組織で起きている事件を知る。

２つ目の教訓は、外部の組織から告知があったときに「防衛の強化」ではなく「管理している情報の隔離」を最優先しなければならないということだ。

攻撃者は、波状的に、執拗に攻撃を行ってくる。しかも単にシステム上の弱点を攻撃するだけではなく、守る側の能力を把握しながら、油断を引き起こす策も織り交ぜてくる。

攻めてきた敵に対抗するために、いくら兵士や大砲を増やしても、忍び込んだ敵によってお姫様がさらわれてしまうのでは意味はないというわけだ。

■４月２２日に厚労省も攻撃を受けていた

今回の年金機構を襲った不審メールなどによる攻撃は、４段階に分かれていた。
５月８日の攻撃第１波は、内閣サイバーセキュリティセンター（ＮＩＳＣ）が見つけてくれたおかげで早期に対応できた。
感染はしたものの、年金機構はその後のウイルスの隔離に成功している。

１８日の第２波は、３台の感染を許したが、３台とも攻撃側が指令サーバーへの通信に失敗し、遠隔操作がうまくできなかった。
そのため、表面上は問題が起きなかった。

・・・・・・・

■攻撃の第４波でついに陥落

続く第３波は、大量にわなが仕掛けられたのだが、事前の注意喚起が効いたのか、感染者を出さなかった。

しかし、２０日に行われた第４波で１台のパソコンが感染し、遠隔操作を受けて内部が制圧された。
その後、大量のパソコンが遠隔操作される状態となり、２３日にかけて個人情報が漏洩していった。

６月１日に機構から公開された情報をもとにした報道では、この鍵となる２０日の感染と２３日までに行われた情報の窃取に関して、一切の情報がない。
それは、機構だけではなく、機構に連絡をしたＮＩＳＣも当時は全く気づいていなかったという実態も明らかになっている。

以上のことからも、今回の情報流出につながった第４波を阻止できていたとしても、続く第５波や第６波が押し寄せて、内部が制圧されるという事態は避けられなかったとみるべきである。

年金機構のような社会サービスを提供している組織は、一層のセキュリティの強化を図っていただく必要はあるにせよ、中小規模の一般的な企業や組織において侵入自体を完全に止めることはできないとの考えを、あらためて肝に銘ずる必要がある。

結論としては、敵が攻めてきているという非常事態を認識したら、重要情報が入っている共有ファイルサーバーの運用を止める、あるいは制限するなどの措置がより重要ということである。
今回の例で具体的に言えば、５月８日から１９日までの間に、内部でまん延していたと報告されている「使用が終わった個人情報は削除する」というルール違反をチェックし、不要な個人情報を削除しておけばよかったのである。

■評価できる詳細な報告書

年金機構の事件は、今年１月にサイバーセキュリティ基本法が全面施行され、政府としてサイバーセキュリティ推進体制を強化して間もない５月に発生した。

・・・・・・・・・・・

■「割れ窓」の放置が被害を拡大

標的型攻撃には国家レベルの組織が関与しているとされ、一企業や組織だけで対抗するには無理がある。
社会全体で対峙するにも、その実態を明らかにして、攻撃の手口や特徴などを共有することが重要だ。

・・・・・・・・・・

■日本に対するサイバー攻撃は「戦争」状態

最高情報責任者（ＣＩＯ）や最高情報セキュリティー責任者（ＣＩＳＯ）は、ルールが現場の実情や時代に合っているかを絶えず点検し、そぐわなくなっていれば見直さなければならない。
年金機構の事件やその前後に相次いだ同様の事件から、日本はいまや、日本国民の様々な個人情報まで狙われている「戦争」状態にあるのではないかと推測している。

・・・・・・・・・・

出典ＵＲＬ
http://www.nikkei.com/article/DGXMZO91476380Y5A900C1000000/?df=3

 

 

 

 

2015/09/16 (Wed) 【情報管理不備】　ﾊﾟｿｺﾝ・ﾒｰﾙ等 Comment(0)