カテゴリー: I　C　T

日本経済新聞は7/8、「アジアのサイバー攻撃、4分の3が外部指摘で発見」という記事を掲載しました。日本を含むアジア太平洋地域の組織がサイバー攻撃を受けた際、76%は外部からの指摘で気づいているとの調査結果が出たということです。これ、結構ショッキングなお話です。

米セキュリティー大手、マンディアント

米セキュリティー大手、マンディアントが公表したレポートなんですが、アジア太平洋地域では自社組織内で攻撃を検知できた割合が24%、外部からの指摘で気づいたのが76%だったとのこと。ちなみに、米大陸では自社組織内での検知が60%、外部指摘が40%だったそうです。

ここでいう「外部からの指摘」とは、警察機関やセキュリティー企業からによる通知のほか、ランサムウエア（身代金要求型ウイルス）を仕掛ける犯罪集団からの脅迫状も含まれています。要するにアジアの企業では、サイバー攻撃を受けたことを自社で検知できていないということですね。

いかに早く検知するか

世界全体で攻撃者が組織内のシステムに侵入してから検知までに要した日数を調べたところ、組織内検知では平均18日程度、外部指摘では28日だったそう。攻撃への対処が10日ほど遅れることで、攻撃者が組織内のシステムを動き回り、企業の被害を拡大させることにつながります。

レポートは「アジア太平洋地域」としてまとめられているようですが、日本だけで見てもこの傾向は当てはまると思われます。システムへの投資をコストと考える傾向の強い日本では、自社システムの運用状況の監視に関しても不十分な企業が多いと思います。

このようなレポートが出れば当然、攻撃側もアジアを狙ってくるわけで、守る側も同じ感覚で防御や監視を強める必要があります。企業のシステムリスクの管理状況（経営陣の認識）を見ていると、その企業のガバナンス全体の状況が見えてくるような気がします。

KDDIは7/5、「2022年7月2日に発生した通信障害に関するお詫び」を公表しました。7/2に発生した大規模通信障害が、7/5の15時36分に全面復旧したことを確認したという内容です。いやぁ、長かったですねぇ。障害発生から実に86時間ですか。KDDIの皆さんも、ユーザーの皆さんもお疲れさまでした。

謝罪会見

そんななか、7/3に行われた高橋社長による謝罪会見が結構話題になっているそうです。会見のほとんどすべてを社長本人が説明し、質疑応答にいたっても、技術的な話も含めて技術担当に代弁させることなく、社長自身が自分の言葉で説明していたというもの。

たしかに、日本の企業でこれだけできる社長さんは珍しいですね。もちろんこの方技術畑出身の方なんですが、とはいえ、技術はどんどん進歩していきますので、社長という立場の方がここまで説明するってのは大変なことです。

一方で組織の経営者としての手腕は、どんなものなのか。これはちょっと分かりません。組織の力を結集して障害対応を進める、という点に関しては、86時間もかかっているわけで、やや課題があったのかもしれません。SNS等では社長の引責辞任を望まない声が多いそうですが、、、。

補償の問題

社長会見でリスク管理の最終局面は事なきを得たわけですが、この後直面するのは、総務省による行政指導と顧客への補償の問題ですね。ちなみに、契約の際の取り決めである約款では「全く利用できない状況が24時間以上続いた場合に限り補償」するということになっているそうです。

ほとんどの顧客において24時間を超えてるものと思われますので、これはエライことになりそう。補償の範囲も金額もまったく想像できません。

兵庫県尼崎市は6/24、全市民の個人情報を記録したUSBメモリーが見つかったと公表しました。全市民約46万人の個人情報が記録されたUSBメモリーが6/23に紛失していたという件です。まぁ、とにかく見つかって良かったわけですが、紛失に至る経緯や管理の状況、酷かったみたいですね。

紛失の経緯

尼崎市から新型コロナウイルスの給付金支給業務を受託していたBIPROGY（ビプロジー、旧日本ユニシス）関西支社。そして同社から再委託を受けていた企業の社員が6/21、市に無断で個人情報をメモリーに複製し、大阪府吹田市にあるビプロジーのコールセンターでデータの移管作業を行いました。

19時ごろ作業を終え、その後従業員4人で飲食店に立ち寄り、19時半ごろから22時半ごろにかけて飲食。データを持ち歩いていた従業員は、飲酒により泥酔し、路上で眠り込み、目を覚ました6/22未明3時ごろ、USBメモリやスマートフォン、財布など入れていたカバンがないことに気がついたといいます。

いやぁ、まったくお粗末な話ですね。で、尼崎市のデータ管理の実態がいま、様々な批判を浴びているという状況です。紛失したUSBメモリーは発見され、パスワードやデータの暗号化に解除の跡などはみられなかったということです。

しかし、この後も専門業者に依頼して情報の漏えいなどの有無については調査を続けるようです。一連の問題に対する市民の批判は根強く、経緯を調べる第三者委員会も近く設置、1カ月後をめどに検証結果をまとめるとのこと。

他の自治体でも

システムの開発や運用管理の会社に対する情報管理の徹底。これって大変なんですよね。今回も委託先企業の再委託先企業の社員がやらかしています。システムの規模によってはさらに再々委託先も存在したりします。

情報管理のためのルールを周知・徹底するにもかなりの労力が必要なんです。伝言ゲームみたいなもんです。今回は尼崎市が叩かれていますが、その他の地方自治体のレベルも、こんなもんじゃないでしょうか。