個人情報の不正アクセス被害が相次ぐ　国家サイバー統括室らが呼び掛けるセキュリティ対策の徹底

大量の個人情報を取り扱う事業者などの情報システムが不正アクセスにより侵入され、個人情報を含むデータが窃取される事案が相次いで確認されている。

これを受けて、総務省は10月9日、所管事業者および関係団体に対し、不正アクセスによる漏えいなどの事案を踏まえた対策徹底を求める注意喚起を公開した。

不正アクセスに伴うデータ漏えい対応　国家サイバー統括室らが対策徹底を要請

こうした状況を踏まえ、内閣官房国家サイバー統括室は事業者などに対し、迅速な脆弱ぜいじゃく性対応や多要素認証などの認証機能の強化、漏えいした情報の悪用防止対策などについて、委託先も含めた一層の対策の徹底を速やかに検討するよう注意喚起を行った。

総務省においても所管事業者および関係団体に対し同内容の注意喚起を実施しており、経営層のリーダーシップの下、サイバーセキュリティ対策の強化に取り組むよう求めている。特に大量の個人情報を保有する事業者や機微な情報を取り扱う事業者などへ十分な注意を呼び掛けている。

なお、内閣官房が公開した「大規模な漏えい等事案を踏まえた対応について（注意喚起）」における主な安全管理措置や注意喚起の概要は以下の通りである。

1．ウェブシステム等の適切な管理

ウェブシステムは企業活動や顧客サービスの基盤として不可欠である一方、インターネットに公開されているシステムは攻撃対象となりやすいため、「いつ攻撃を受けてもおかしくない」前提で対策を講じることが重要とされる。

脆弱性管理においては、公開された脆弱性情報に対するセキュリティパッチやアップデートの速やかな適用、サポート終了製品の利用停止、定期的な脆弱性診断の実施が求められる。また、多要素認証（MFA）の導入や管理者権限の最小化といったアカウント認証の強化のほか、ログ保管や不審アクセスの監視によるレジリエンス向上など、侵入に備えた態勢整備が必要と同資料は示している。

2．サプライチェーンを通じた侵害への対策

サイバー攻撃への対策は自社システムのみならず、個人情報や業務情報を預ける委託先企業などを含むサプライチェーン全体で安全性を確保する観点が重要とされる。攻撃者が比較的防御の弱い委託先を足掛かりに標的企業へアクセスを拡大する手口を踏まえ、「委託先企業とともに管理する」認識の下で対策を講じることが求められる。

具体的には、委託先などのセキュリティ対策状況や再委託先の管理状況の定期的な把握、契約におけるセキュリティ要件や報告義務の明確化が挙げられる。さらに、委託先へ提供する情報の最小化や、重要取引先の洗い出し・リスク評価を含めたサプライチェーン全体のリスクマネジメントが不可欠と同資料は指摘する。

3．データの適切な管理

企業が保有する個人情報や業務情報は重要な経営資産である一方、不必要な保有や管理不十分な状態は、不正アクセス発生時に被害の拡大や情報の公開・売買といった深刻なリスクへ発展する恐れがあるため「保有する情報資産を守る」視点での安全管理措置が求められている。

具体策として、自社が保有する情報資産の全体像把握や利用目的を終えた情報の速やかな削除（保有情報の最小化）を挙げる。また、アクセス権限の適切な分離や保存データの暗号化といったデータ保護の徹底、アクセスログの監視・分析体制の強化を推奨する。AIの悪用などにより攻撃が高度化する中、経営層に対してセキュリティ対策を経営課題と位置付けた投資や体制整備を求めるとともに、被害発生時の速やかな情報共有への協力を呼び掛けている。