内閣官房国家サイバー統括室は10月9日、不正アクセスによる漏えい等の事案を踏まえた対応について発表した。
国家サイバー統括室では、ウェブシステムに係る脆弱性の悪用、サプライチェーンを通じた侵害、堅牢さを欠くデータ管理などで、大量の個人情報を取り扱う事業者等の情報システムが不正アクセスにより侵入され、個人情報を含むデータが窃取される事案を複数確認しているという。
内閣官房国家サイバー統括室では、大量の個人情報を取り扱う事業者や機微な情報を取り扱う事業者等に対し、下記の通り、より一層の対策の徹底を検討するよう呼びかけている。
1.ウェブシステム等の適切な管理
・脆弱性の適切な管理
OS、ミドルウェア、CMS、アプリケーション等のセキュリティパッチやアップデートを速やかに適用する
サポートが終了している製品・バージョンを利用しない
利用していないシステムや機能は停止・削除する
定期的に脆弱性診断等を実施する
不要なポート、プロトコル、サービス等を無効化する
・アカウント管理・認証
多要素認証（MFA）を導入する
推測されやすいパスワードの使用を禁止する
管理者アカウントの利用者、アクセス権を必要最小限にする
退職者、異動者や利用されていないもの等の不要なアカウントを速やかに無効化する
・レジリエンスの向上
ログを適切に取得・保管する
不審な通信や大量のアクセスを監視する
侵入検知・防御システムを活用し、パターンファイル等を定期的に更新する
外部からの異常な認証試行を把握する
事業継続計画等にサイバーセキュリティを組み入れ
2.サプライチェーンを通じた侵害への対策
・委託先企業等のセキュリティ対策状況の把握
委託先等の情報セキュリティ方針、管理体制や委託先等との役割分担・責任分界を確認する
個人情報や業務情報の取扱状況を定期的に点検する
セキュリティ認証の取得状況や監査結果を確認する
再委託先を含む管理状況を把握する
契約締結時だけでなく、継続的に確認を行う
・委託契約におけるセキュリティ要件の明確化
情報の取扱方法を明確に定める
アクセス権管理やログ管理の実施を求める
不正アクセスや漏えいが発生した場合の報告義務を規定する
インシデント発生時の委託先との連携体制を整備する
・情報共有範囲の適正化
委託先へ提供する個人情報や業務情報を必要最小限とする
業務終了後の委託先でのデータ削除を徹底する
委託先に付与するアクセス権を適切に管理する
・サプライチェーン全体のリスクマネジメント
重要な取引先や委託先を洗い出す
サプライチェーンを含めた情報資産の流れを可視化する
サプライチェーン上の重要な依存関係を把握する
定期的にリスク評価を実施する
3.データの適切な管理
・保有する情報資産の適切な管理
個人情報や業務情報の所在や管理者を把握する
重要な情報資産を分類し、管理対象を明確にする
利用目的や保存期間を明確にする
定期的に情報資産の棚卸しを実施する
・保有情報の最小化
利用目的を終えた情報は速やかに削除する
法令上の保存期間を経過した情報は適切に廃棄する
・適切なアカウント管理・アクセス制御
業務上必要な者のみにアクセスを許可する
閲覧権限と更新権限を適切に分離する
管理者権限の付与を必要最小限とする
定期的にアカウントや権限設定を確認する
・データ保護の徹底
保存データを暗号化する
通信経路を暗号化する
パスワードや認証情報を平文で保存しない
外部電磁的記録媒体の利用やデータ保存等に関するルールを整備する
バックアップデータについても適切に保護する
クラウドサービスを利用する場合は、サービス仕様を理解し、保存領域やデータベース等の公開設定及びアクセス権限設定をよく確認する
・ログ取得・監視・分析の強化
個人情報や業務情報へのアクセス記録を取得する
不審なアクセスや大量データの取得を監視する
ログを一定期間保管する
異常を検知した場合の対応態勢を整備する
