タグ: サイバーセキュリティ

日本経済新聞は7/8、「アジアのサイバー攻撃、4分の3が外部指摘で発見」という記事を掲載しました。日本を含むアジア太平洋地域の組織がサイバー攻撃を受けた際、76%は外部からの指摘で気づいているとの調査結果が出たということです。これ、結構ショッキングなお話です。

米セキュリティー大手、マンディアント

米セキュリティー大手、マンディアントが公表したレポートなんですが、アジア太平洋地域では自社組織内で攻撃を検知できた割合が24%、外部からの指摘で気づいたのが76%だったとのこと。ちなみに、米大陸では自社組織内での検知が60%、外部指摘が40%だったそうです。

ここでいう「外部からの指摘」とは、警察機関やセキュリティー企業からによる通知のほか、ランサムウエア（身代金要求型ウイルス）を仕掛ける犯罪集団からの脅迫状も含まれています。要するにアジアの企業では、サイバー攻撃を受けたことを自社で検知できていないということですね。

いかに早く検知するか

世界全体で攻撃者が組織内のシステムに侵入してから検知までに要した日数を調べたところ、組織内検知では平均18日程度、外部指摘では28日だったそう。攻撃への対処が10日ほど遅れることで、攻撃者が組織内のシステムを動き回り、企業の被害を拡大させることにつながります。

レポートは「アジア太平洋地域」としてまとめられているようですが、日本だけで見てもこの傾向は当てはまると思われます。システムへの投資をコストと考える傾向の強い日本では、自社システムの運用状況の監視に関しても不十分な企業が多いと思います。

このようなレポートが出れば当然、攻撃側もアジアを狙ってくるわけで、守る側も同じ感覚で防御や監視を強める必要があります。企業のシステムリスクの管理状況（経営陣の認識）を見ていると、その企業のガバナンス全体の状況が見えてくるような気がします。

兵庫県尼崎市は6/24、全市民の個人情報を記録したUSBメモリーが見つかったと公表しました。全市民約46万人の個人情報が記録されたUSBメモリーが6/23に紛失していたという件です。まぁ、とにかく見つかって良かったわけですが、紛失に至る経緯や管理の状況、酷かったみたいですね。

紛失の経緯

尼崎市から新型コロナウイルスの給付金支給業務を受託していたBIPROGY（ビプロジー、旧日本ユニシス）関西支社。そして同社から再委託を受けていた企業の社員が6/21、市に無断で個人情報をメモリーに複製し、大阪府吹田市にあるビプロジーのコールセンターでデータの移管作業を行いました。

19時ごろ作業を終え、その後従業員4人で飲食店に立ち寄り、19時半ごろから22時半ごろにかけて飲食。データを持ち歩いていた従業員は、飲酒により泥酔し、路上で眠り込み、目を覚ました6/22未明3時ごろ、USBメモリやスマートフォン、財布など入れていたカバンがないことに気がついたといいます。

いやぁ、まったくお粗末な話ですね。で、尼崎市のデータ管理の実態がいま、様々な批判を浴びているという状況です。紛失したUSBメモリーは発見され、パスワードやデータの暗号化に解除の跡などはみられなかったということです。

しかし、この後も専門業者に依頼して情報の漏えいなどの有無については調査を続けるようです。一連の問題に対する市民の批判は根強く、経緯を調べる第三者委員会も近く設置、1カ月後をめどに検証結果をまとめるとのこと。

他の自治体でも

システムの開発や運用管理の会社に対する情報管理の徹底。これって大変なんですよね。今回も委託先企業の再委託先企業の社員がやらかしています。システムの規模によってはさらに再々委託先も存在したりします。

情報管理のためのルールを周知・徹底するにもかなりの労力が必要なんです。伝言ゲームみたいなもんです。今回は尼崎市が叩かれていますが、その他の地方自治体のレベルも、こんなもんじゃないでしょうか。