国家サイバー統括室、個人情報漏えい対策の徹底を要請 AI活用や脆弱性診断など

内閣官房国家サイバー統括室(NCO)は5日、事業者向けの個人情報漏えい対策例をまとめた文書「個人情報の漏えい等につながる不正アクセスへの対策について～ウェブサイトやモバイルアプリに関する基本的な対策の徹底～」を公開した。

文書では、直近で多発している顧客の個人情報漏えい事案に関して、ソフトウェアの脆弱性や設定の不備など基本的な対策の不足について指摘。具体的な対策例を提示し、漏えいを防ぐための基本的なセキュリティ対策の徹底を呼びかけている。

対策は大きく「運用・管理」「設計・開発」「サプライチェーン」の3領域に分けて合計8項目について解説している。

運用・管理の段階では「デジタル資産の把握と脆弱性の解消」「攻撃対象領域の継続的な棚卸しおよび最小化」「AI活用などによる継続的な脆弱性診断および不審な挙動の監視」を挙げた。

デジタル資産に関しては、自社で利用しているソフトウェアの構成やバージョン、利用箇所の把握と、既知の脆弱性情報の収集および対策を講じる必要性を訴えている。特にサーバーやネットワーク機器については優先的に対応すべきとした。

攻撃対象領域とは、攻撃者が侵入や攻撃に利用できる、外部に公開されたシステムやサービスなどを指す。特に公開状態にあるシステム管理画面や開発・検証環境、不適切なクラウドストレージの共有設定などを例に挙げており、外部から見える資産の洗い出しと不要な機能の停止を検討事項に加えることを推奨している。

AIを活用した脆弱性診断と監視については、AIによる攻撃経路の探索や検証試験、脆弱性の影響範囲や対応優先度の評価支援に加え、ログやアラートの分析、異常挙動の検出、対応手順の提案などを挙げている。AIの評価結果については、人が根拠や妥当性を確認し、最終的な判断を行なうことも求めている。

企画設計段階からセキュリティを組み込む

設計・開発の段階は、「セキュリティ・バイ・デザインの適用」「APIのセキュリティ対策強化」「公開前の脆弱性診断」の3項目。

セキュリティ・バイ・デザインはセキュリティの仕組みをシステムの企画や設計の段階から組み込む考え方。具体的には、脅威モデリングによる攻撃経路の把握や、認証・認可・暗号化・ログ取得・アクセス制御の設計、クラウドアカウントやサブスクリプションの管理境界の分離などを組み込む。開発段階ではSAST、SCA、DAST、IASTといった脆弱性検査ツールの活用も勧めている。

APIのセキュリティ対策においては、APIの脆弱性や認可の不備を突く「App-to-Backend(A2B)」攻撃について言及。アクセス権限や認証情報の適切な管理、APIレート制限の設定を改めて確認するよう求めた。

公開前の脆弱性診断は、リリース前の診断やペネトレーションテストの実施といった内容。脆弱性の一例としてSQLインジェクション、OSコマンドインジェクション、リモートコード実行、サーバーサイドリクエストフォージェリ(SSRF)、ディレクトリトラバーサルなどを挙げている。

外部と連携したソフトウェア運用の厳格化

サプライチェーンを通じた侵害への対策としては「委託先のセキュリティ統制と接続経路の厳格化」と「OSSや外部ライブラリなどの適切な管理」の2項目について対策を講じるよう求めた。

前者については、自社の対策に非がなくても委託先のセキュリティ不備によって被害を受けるケースもあることから、多要素認証の適用、接続元IPアドレスの制限、作業時のみの接続、管理者権限の棚卸し、発注仕様書や業務委託契約書におけるセキュリティ要件の明記、ゼロトラストに基づくアクセス制御などの実施を行なうよう呼びかけている。ここでは費用負担や実施方法を協議する必要についても言及している。

後者については特に脆弱性への迅速な対応体制を整える必要性を強調している。具体的には、ゼロデイ脆弱性や重大な脆弱性が明らかになった場合の初動対応手順の整備、バージョンやサポート状況の把握、SBOM(ソフトウェア部品表)の提出を契約・仕様に明記することや、納品時の内容確認、納品後の継続監視などを挙げた。

文書では最後に、これらの対策は昨今の攻撃手法に焦点を当てたものであり、特に今後AIの悪用が高度化、巧妙化する可能性も想定した対策を講じる必要があるとした。

不正アクセスによる情報漏えい事案が相次ぐ状況を踏まえ、国家サイバー統括室では、ウェブサイトやモバイルアプリを使用した事業を運用し、個人情報を取り扱う事業者等に対して新たな注意喚起を発出しました。こちらを確認いただき、改めて基本的な対策の徹底をお願いします。https://t.co/pFcUOhTniT

— 国家サイバー統括室(注意・警戒情報) (@cyber_forecast)November 5, 2026