国家サイバー統括室、情報漏えい対策を呼びかけ 委託先管理や不要データ削除も

内閣官房国家サイバー統括室(NCO)は9日、不正アクセスによる情報漏えいなどの事案を踏まえ、企業向けに対策のポイントを公表した。大量の個人情報や機微な情報を扱う事業者に対し、対策の徹底を速やかに検討するよう呼びかけている。

ウェブシステムの脆弱性の悪用や、委託先などを通じた侵害、不十分なデータ管理により、個人情報を含むデータが盗まれる事案を複数確認したことを受けたもの。対策は「ウェブシステム等の適切な管理」「サプライチェーンを通じた侵害への対策」「データの適切な管理」の3分野にまとめた。

ウェブシステムについては、脆弱性情報の公表後、短期間で攻撃に悪用される場合があるとして、セキュリティパッチやアップデートの迅速な適用を求めた。サポートが終了した製品の利用を避け、不要なシステムや機能を停止・削除するほか、多要素認証の導入、管理者権限の最小化、不要なアカウントの無効化などを挙げている。

委託先の管理では、防御が弱い企業を足掛かりに、標的企業へ侵入を広げる手口に注意を促した。再委託先を含めた対策状況を継続的に確認し、契約で情報の取り扱いや漏えい時の報告義務を明確にするよう求めている。委託先に提供する情報を必要最小限に抑え、業務終了後のデータ削除を徹底することも対策に含めた。

データ管理では、保有する情報の所在や管理者、利用目的、保存期間を把握したうえで、利用目的を終えた情報の削除や、法令上の保存期間を過ぎた情報の廃棄を推奨。保存データや通信経路の暗号化、バックアップの保護、クラウドの公開設定やアクセス権限の確認も求めた。

また、不正侵入の事案が複数確認されていることから、アクセスログなどを点検・分析し、不審な通信や大量アクセスの痕跡がないか確認するよう推奨している。侵入を完全に防ぐことは困難として、早期発見と迅速な対応に向けた監視体制や、事業継続計画へのサイバーセキュリティ対策の組み込みも促した。

NCOは、情報流出が事業停止や顧客対応などの経営リスクにつながるとして、経営層に必要な投資や人的体制の整備を要請。被害を受けた組織には、攻撃に関する技術的な情報をNCOや所管省庁、専門機関などへ速やかに共有するよう呼びかけている。