IPA、不正アクセスによる漏えい事案を踏まえ速やかに実施すべき対策を公表

IPAは2026年10月9日、不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について公表しました。国内の金融機関や通信事業者等の幅広い事業者から、不正アクセスの被害による情報漏えい事案の公表が相次いでいることを受けたものです。大量の個人情報を扱うオンラインサービスが狙われ、データが窃取される事例が続いていることから、自社のシステムや利用中の外部サービスを今一度見直す必要があります。本記事では、IPAが示した点検項目と対策の内容を、実務の流れに沿って整理します。

事案の傾向と経営者への要請

特に、大量の個人情報を取り扱うオンラインサービス・アカウントサービス等に関するシステムが不正侵入され、個人情報を含むデータが窃取される事案が相次いでいます。現段階では、特定のプロダクトやサービスの脆弱性を狙った攻撃とは断定されておらず、公表事例の傾向から、外部公開しているアプリケーションやサービスの侵害、アカウントの侵害が起点となっていることがうかがえます。

IPAは、大量の情報資産を保有する事業者や機微な情報を取り扱う事業者等の経営者に対し、サイバーセキュリティリスクが自社のリスクマネジメントにおける重要課題であることを認識し、自らのリーダーシップのもとで対策を進めることを求めています。経営責任として情報漏えいを起こさないためのサイバーセキュリティ対策の点検や見直しを至急実施するよう呼びかけています。特定の製品の脆弱性に依存しない事案であるだけに、日頃の運用や権限管理の見直しが問われている点が重要です。

速やかに行うべき点検と対策

速やかに行うべき点検として、外部に公開しているアプリケーションの精査が挙げられています。自組織が独自に構築・運用している外部公開アプリケーションやサービスの有無の確認、各アプリケーション・サービス単位での直近のログの異常確認、未適用の脆弱性対応パッチの確認と適用が求められています。ログの確認では、直近1ヵ月、その後3ヵ月といったように段階的に対象範囲を広げることや、誰がどのように調査できるかの把握も必要とされています。エラーの出力量や平時との差異など、比較的気づきやすい兆候から確認を始めるとよいとされています。

自組織が利用している外部サービスの洗い出しも求められています。クラウドサービス、VPNサービス等様々な分類があり、組織全体、部署単位での利用がありうることを踏まえ、可能な限り網羅的に把握することが必要です。サービス単位のログの異常確認や、作ったはずのないアカウントの有無、削除・無効化されているはずのアカウントの有効化等の異常確認も求められています。サービスごとにログの保持期間や確認できる範囲が異なるため、誰がいつどのように確認できるかを整理しておくことが実務上の要点です。

異常なログやアカウントの発見があった場合は、速やかにセキュリティインシデントと判定し、インシデント対応を進めること、情報漏えいの可能性を考慮し、専門のセキュリティベンダーに詳細調査を依頼することが強く推奨されています。

保有データの再点検も必要です。情報を窃取されると、情報の悪用や「窃取した情報を公開する」との脅迫、不正売買など、二次被害が拡大する傾向が強まっているとされています。不要な情報は持たないという基本原則のもと、自らが保有する情報資産を正確に把握し、必要最小限にすることが求められています。

点検で異常がなかったとしても、外部公開アプリケーション、外部から利用可能なサービス、保有するデータについて、より強固な対策を取ることが検討されています。外部公開範囲の見直し、認証機能の強化、権限付与の見直し、ログ取得内容・保持期間の見直し、データの暗号化などが挙げられています。点検と対策を一度で終わらせず、継続的な運用に落とし込むことが求められている点も押さえておきたいところです。

今回の公表で判明していること

今回の公表では、特定のプロダクトやサービスの脆弱性を狙った攻撃とは現段階で断定されていないこと、公表事例の傾向として外部公開アプリケーションやサービスの侵害、アカウントの侵害が起点となっていることが示されています。IPAは、今後各公的機関やセキュリティベンダー等から不審なIPアドレスやログの痕跡等、調査に活用できる情報が公表される可能性があるとして、当面情報収集を強化するよう求めています。経産省の「サイバーセキュリティ経営ガイドライン」などを参考に、経営者のリーダーシップのもと取り組みを進めることも記載されています。あわせて、サプライチェーン全体に目配りすることや、関係者との積極的なコミュニケーションの重要性も示されています。