企業・組織の情報セキュリティ態勢について考える2015(3)

総合研究部 上席研究員　佐藤栄俊

１．企業・組織の情報セキュリティ態勢について考える

　皆さま、こんにちは。今年最後の情報セキュリティトピックスです。1年間おつきあいいただき、誠にありがとうございます。来年もITや情報セキュリティにかかる企業危機管理上のトピックスを取り上げてまいりますので、よろしくお願い申し上げます。

　この１年、我々消費者や個人にとっても、新たな脅威が数多く発生しました。不正広告、ランサムウェア、オンライン銀行詐欺ツール、マクロ型不正プログラムの再来など、多数の脅威にさらされた年であり、特に不正広告は、広告を表示するだけで感染してしまうという巧妙な手口を用いており、7月以降に増加を始め、現在もその勢いは継続しています。
　2016年においても、本年の脅威動向や市場動向、サイバー関連法の整備（日本国内では、個人情報保護法の改正やマイナンバー法）をふまえ、セキュリティの脅威がどのように進展していくのかについて注視していく必要があります。

　さて、今回も先月に引き続き、日本年金機構（以下「機構」）で起きた情報漏えい事故を取り上げ、企業の情報セキュリティ対策や態勢について検討していきたいと思います。2015年、情報セキュリティに関する国内で最も大きなトピックスは、機構における標的型攻撃メールをきっかけとした大規模な情報漏えいだったと言えます。
　企業や組織にとって、どのような情報を守る（保護する）必要があり、その情報がどこに保存されているのかということを改めて整理し、その中で起こり得るセキュリティリスクと必要な対策を検討することで優先度を明確化していく必要があります。具体的には、機構を前提に例示するとすれば、定期的な業務フローを見直して、データの取り扱い方法をチェックし、運用の都合によるセキュリティ・リスクを把握して、運用体制（方法）の見直しや端末のセキュリティレベルの検討・改善を行うことで、今回の事件を未然に防げた可能性があります。
　情報セキュリティ対策は、組織や企業が持つ重要な知的財産を守るため、事業を安定的に継続させる上で欠かせない経営課題であり、全社的かつ経営層による主体的かつ継続的な取り組みや判断が求められます

(1)業務改善計画

　日本年金機構は2015年12月9日、年金情報流出事案を受けた「業務改善計画」を監督官庁である厚生労働省に提出しました。改善計画は、2016年4月からの3年間で集中的に取り組むとしており、その3本柱は、「組織の一体化・内部統制の有効性の確保」と「情報開示の抜本的な見直し」、そして「情報セキュリティ対策の強化」だとし、組織面と技術面、業務運営面を強化するとしています。

▼日本年金機構「業務改善計画の提出」

　それによると、まず組織面では、10月1日に理事長を本部長に、CISO（最高情報セキュリティ責任者）である副理事長を副本部長に据えた「情報管理対策本部」を設置し、「実効性のあるセキュリティ対策を実現する体制を構築する」としてします。
　さらにインシデント（セキュリティ上の事故）に対応する専門組織の「機構CSIRT」を設置して、セキュリティの有資格者を含む4人を配属し、関係部署の20人も支援要員として登録、外部の専門企業とも2016年4月以降に契約して、当該組織の機能強化を図っていく見通しです。
　また、技術面の強化では、もともとインターネットから分離している（はず）の基幹系システムもセキュリティを高めるとしています。年金情報は情報系システムにコピーさせず、基幹システム内に共有フォルダ―を作り、生体認証などでログインする専用端末から閲覧するように変更し、専用端末は未知のウィルスを検知できる対策を追加するとしています。今年6月に標的型攻撃を受けた際は、脆弱性の残ったままのPCやサーバーがあり、監視も行き届いていなかったため、今後は最新のセキュリティパッチを充て、重要機器も監視するとしています。
　最後に、業務運営面の強化では、情報セキュリティポリシーを厚労省のポリシーに準拠した、外部委託の導入や標的型攻撃対策などを盛り込んだ内容に改定し、実効性を高めるとしています。また、職員向けセキュリティ研修を全職員に年1回以上実施し、機構CSIRTの対応能力を高める研修も実施するとして、こうした対策の実施状況を内部や外部の専門家が定期的・継続的に監査していくとしています。

(2)業務上の都合

　今回の日本年金機構での事案は、以下の報告書（厚生労働省、日本年金機構、内閣官房）によると、個人情報を保持する基幹システムは物理的に異なるネットワークに存在しており、侵入者は、重要情報には直接アクセスできないはずでした。しかしながら、業務の都合により、データベース内の個人情報が、侵入した攻撃者にもアクセスできるファイルサーバー内に保存されていたことで、情報漏えいにつながったとしています。業務の都合によるルール違反の運用により、被害範囲が非常に大きなものになりました。

▼日本年金機構「不正アクセスによる情報流出事案に関する調査結果報告書」

▼厚生労働省「日本年金機構における不正アクセスによる情報流出事案検証委員会検証報告書」

▼内閣官房サイバーセキュリティ対策本部「日本年金機構における個人情報流出事案に関する原因究明調査結果」

　標的型攻撃は時間をかけて情報を盗んでいく攻撃、というイメージがありますが、それは攻撃者が狙う情報が適切に守られていてアクセスしづらい場合です。取りやすい場所に重要情報が置かれていれば攻撃者は容易に情報を窃取でき、時間をかける必要性はありません。前回の「共有フォルダ運用の実態」（情報セキュリティトピックス2015年10月号）でも記載したとおり、実際の業務遂行上の都合とセキュリティポリシーの乖離から、ポリシーが守られず形骸化してしまうことはどの組織においても起こりがちなことです。ここで重要なことは、取り扱っている情報の重要性やレベル分けの意義をしっかりと認識して、守るべき情報な何なのかを明確にした上で、業務の実態を把握し、運用可能なポリシーと継続的な監査体制を構築することです。また、事案発生時の対応（個々人の行動指針及び組織的対応要領）もドキュメント化するなど明確化し、徹底させることが必要です。
　また、最も基本的な部分ではありますが、遠隔地や個々の現場においても、決められた組織のルールがローカルルール化しないよう、ルール化の意味やそのようなルールになっている理由をしっかりと役員・従業員に説明し、小さな怠慢やミスでも見て見ぬふりをせず、注意・是正（改善）できる環境を構築すること、例えば、風通しの良さといった良好な職場環境の醸成が急務であるといえます。怠慢や違反を放置しない、見通しのきかない場所をなくすということも情報資産保護や不正の抑止には非常に重要です。

　これまで、標的型によるサイバー攻撃は国や政府関連機関の持つ機密情報、大企業がもつ最先端技術情報などを狙うものとして認識されていました。しかし、攻撃者の真の狙いはわかっていないものの、今回の事例での被害は年金関連の個人情報に留まっています。
　昨年の段階から、業種や規模を問わず民間企業を含めた法人が持つ個人情報や決済情報を狙う攻撃で、標的型サイバー攻撃の手法の使用が拡大しています。2014年2月に確認された航空会社のマイレージ会員情報が窃取された事例でも、標的型メールによる組織内ネットワークへの侵入に加え、マイレージ会員データベースにアクセスする業務を行っていた端末経由でデータベース内の情報が抽出されるなど、今回の日本年金機構を上回る攻撃内容が判明しています。

　企業の陥りやすい認識としては、「狙われるほど重要な情報がない（個人情報は狙ってこないという意識）」ためサイバー攻撃の標的にはならない、という考えがあります。しかし、企業の持つ従業員や顧客などの個人情報やクレジットカードなどの決済情報を狙う攻撃の事例では、標的となった企業は規模や業種に関わらず狙われていることがわかっています。そして、実際に標的となった場合の損害は決して小さいものではなく、業績や事業継続に大きな影響を与えるものになりがちです。これらの実情を認識し、今回日本年金機構の受けた攻撃を自分事としてとらえ、自社の持つ情報資産とその重要性を把握した上で必要な対策を考えるべきです。

　日本年金機構事例から気付かされたことは、今回の標的型攻撃メールによる手法が、特別に新しい手法ではなく、情報に対する脅威に大きく変化はないものの、「本来実施すべき基本的な事項が守られてない」ことが、大きな事故に発展したということです。
　この点、何度も言及している内容ですが、情報セキュリティ対策で重要なのは、「資産」の把握と優先付けに基づいたポリシーの策定や監査体制などの組織強化や事故発生時の対応方針・プロセスの明文化と徹底、迅速に対応できる体制の構築を考える必要があります。言い換えれば、「情報」を扱う「人」の部分に脆弱性があるということ、情報管理に関する内部統制システムも、システムを使う側の「人」がそれを無視・逸脱した使い方をしてしまえば、セキュリティ対策として機能しないということを改めて認識しなければならないのです。その意味で、標的型サイバー攻撃の脅威は、既にすべての組織にとって他人事ではなく、事業継続性を維持する上での最重要対策事項だと言えるのです。

(3)事故対応体制

　インシデントレスポンスとは、情報セキュリティを脅かす事象(インシデント)への対応を行うことです。情報セキュリティの分野におけるインシデントとは、コンピューターやネットワークのセキュリティを脅かす事象、すなわち、ウィルス感染や不正アクセス、不正侵入、データの改ざん、情報漏えいなどを指し、意図的であるか偶発的であるかを問いません。インシデントレスポンスは、上記インシデントに対し、主に原因の調査や対応策の検討、サービス復旧や再発防止策の実施などの対応を適切に行うことです。最近は、サイバー攻撃が増加傾向にあり、その範囲も広範にわたっています。こうした状況下で、セキュリティ対策を万全に施していたとしても、すべてのインシデントを未然に防ぐことは不可能です。
　そこで、インシデントが万が一発生した場合に迅速に対応し、被害の拡大を最小限にするための事後対応が求められます。特に、標的型攻撃などのように、特定のターゲットに対し、周到に、時間をかけて準備され、継続的に実行されるサイバー攻撃などに対応していくためには、常にメンバーや組織内で知識を共有し、事故を前提としたポリシー策定や手順の確立をしておくことが重要です。
　実際にサイバー攻撃が行なわれインシデントが発生するタイミングや攻撃の種類は攻撃者が選択するため、システムの管理者側では予測することが困難です。管理者側の知識や技術が不足している場合や、チーム編成の不備、準備や訓練が十分に行なわれていない、見積りが甘い、などの理由により攻撃を防ぎきることができない可能性があります。また、標的となるのは、その多くが一般社員であり、十分な知識等をもっていない場合も少なくありません。そのためには、標的型攻撃の訓練や演習、アンケートを通じて、自社内でそのリスク（開封状況）を把握することも重要です。演習や研修、注意喚起を繰り返すことで問題点を抽出しそれを改善するとともに、インシデントの処理になれておくことで、組織全体でのサイバー攻撃への対応力を向上させ、被害の拡大を未然に防ぐ意味でも重要だと言えます。

【参考】

▼デジタルアーツ「勤務先における標的型攻撃の意識・実態調査」

20歳以上の就業者を対象に7月23日から25日にかけてインターネット上でアンケート調査を実施したもの。情報システム管理者333人、一般従業員1109人が回答

　デジタルアーツによると、従業員の25％は、勤め先が「標的型攻撃の対象となる可能性はない」と考えていることが調査結果からわかります。また、システム管理者も1割強が同様に考えており、勤務先が攻撃対象となりうるかの設問では、従業員の40.7％は「ある」と回答。一方で24％は「ない」と回答。また「わからない」との回答も35.3％あり、あわせると約6割にのぼるという結果です。
　従業員へ勤務先のセキュリティに関するルールについての設問では、59.1％が「ある」、34％が「ない」と回答しており、勤務先のセキュリティ対策については、最近「厳しくなった（51％）」「変わらない（47.2％）」がほぼ半々という結果が得られています。
　その他、セキュリティに関する社内研修は、58％が未経験。29.3％は、組織内の研修を受けており、6.7％は外部専門機関から講習を受けているという結果です。

２．最近のトピックス

▼IPA「ウイルス感染を目的としたばらまき型メールに引き続き警戒を」

　情報処理推進機構(IPA)は、12月1日、「2015年12月の呼びかけ」を公開しました。この中で、IPAが10月に注意喚起した「ばらまき型」偽メールの手口について、これまでIPAが確認した手口と、今後注意すべきポイントなどが紹介されています。
　「ばらまき型メール」とは、マルウェア感染などを目的に、広く多くの組織に送付されるメールです。このメールにはOfficeなどのアプリケーションに備わるマクロ実行機能を備えたファイルが添付され、ファイルを開くとマルウェアがダウンロードされ、感染する可能性があります。
　確認されたメールは、「特定の組織からの注文連絡」(「【●●●●（実在の組織名）より】ご注文ありがとうございました－添付ファイル『出荷のご案内』を必ずご確認ください」などの内容)、「複合機からの自動送信」(「Message from “RNP0026738E40D2″」などの内容)を装う特徴があり、特に、「特定の組織からの注文連絡」を装うメールは日本語に不自然な表現もなく、不審をいだきにくいと言えます。
　また、マクロを悪用したタイプの添付ファイルは、WordだけでなくExcelなど、別のOffice文書ファイルが用いられる可能性があることや、別の事例では、PDFファイルに偽装した実行形式のファイルが添付され、マルウェアに感染させようとしていたことなどから、IPAは、今後もこのような「ばらまき型」の手口が仕掛けられる可能性があるとしています。

　被害を未然に防ぐ対策として、「不用意に添付ファイルを開かない」「リンクをクリックしない」といった対策に加え、以下のポイントを推奨されています。

• マクロが自動で有効になるような設定は行わない。
• 安全性が不明なファイルではマクロを有効にするための「コンテンツの有効化」を絶対クリックしない。

　そして、万が一、メールの添付ファイルを開いてマルウェアに感染したことが疑われる場合には、「当該端末をネットワークから切り離す」「セキュリティソフトでウイルススキャンを実施する」「必要に応じて、スキャン結果や開いてしまったファイルの情報、セキュリティソフトの定義ファイルの情報等をまとめてセキュリティベンダ等に相談する」などの対応が必要になります。

▼フィッシング対策協議会「2015/11 フィッシング報告状況」

　12月1日、フィッシング対策協議会は2015年11月の月次報告書を公開しました。本報告書によると、フィッシング報告件数は246件と前月より27件増加、フィッシングサイトのURL件数は96件で前月より2件減少しています。
　同協議会によると、11月は、カード会社を騙る手口に加え、SMS(ショートメッセージサービス)を悪用したネットバンキングをかたるフィッシングが再度発生したほか、「Apple ID」を詐取するフィッシングも、件数が減少している(10月：52件→11月：19件)ものの引き続き発生しているとしています。
　フィッシング被害を未然に防ぐためには、メールの取扱いには十分注意することと、アクセスしたサイトが本物かどうか、「アドレスバー」のドメイン名を目視確認するなどの対応を心がけるとともに、IDやパスワードなどのアカウント情報の設定、管理は厳重に行う必要があります。

▼トレンドマイクロ「2015年第3四半期セキュリティラウンドアップ：見ただけで感染する「正規サイト汚染」の脅威』」

　トレンドマイクロは、11月19日、日本国内および海外のセキュリティ動向を分析した「2015年第3四半期セキュリティラウンドアップ：見ただけで感染する『正規サイト汚染』の脅威」を公開ました。
　これによると、2015年7月～9月の脅威の動向ハイライトは大きく2点あります。1点目は、「脆弱性攻撃サイトへの誘導元の8割以上が『汚染された正規サイト』」だったことです。改ざんや不正広告が表示されるなどの「汚染された」正規サイトを経由する国内向けの攻撃が多数確認され、その割合は86%(日本国内からのアクセスを確認した42件の攻撃サイトのうち)でした。また、攻撃サイトからユーザーが感染する不正プログラムの6割以上が、オンライン銀行詐欺ツールやランサムウェアなどの金銭目的のプログラムだったとしています。なお、脆弱性攻撃サイトへのユーザーの誘導数は全世界的に増加傾向にあり、今期は約380万件と、対前年同期比で約9倍に増加しています。
　2点目は、「国内のオンライン銀行詐欺ツールが検出された端末台数が対前四半期比約2倍に」増加している点です。国内のオンライン銀行詐欺ツールが検出された端末台数は、2015年4月～6月が4,300台だったのに対し、2015年7月～9月は8,750台と約2倍に増加しています。国内のネットバンキング利用者を狙うマルウェアが多数流通している点に注意が必要です。

▼総務省「成27年度　青少年のインターネット・リテラシー指標等」

　11月13日、総務省は、青少年のインターネット・リテラシーに関する実態調査の結果概要を「平成27年度　青少年のインターネット・リテラシー指標等」として公開しました。これは、全国の高等学校1年生相当に対し、インターネット・リテラシーを測るテストをアンケートとともに行い、結果を集計・分析して発表したものです。これによると、本年度の全問正答率は69.7%でした。本年度は問題を一部改修したため、前年度と同一問題・参加校で比較した場合、正答率は71.0%となり、昨年度正答率(70.5%)をやや上回る結果でした。
　スマートフォンの1日の平均利用時間は「平日1～2時間」「休日2～3時間」が最も多く、平日は58.5%、休日は78.2%の青少年が1日に2時間以上利用するなど、他の通信機器と比べて利用時間が長いことがわかりました。
　また、フィルタリングサービスについては、72.3%の青少年が「有用」であると考え、また78.3%が「必要性を認識」しているものの、利用率は49.3%となっています。
総務省では、インターネットを使い始めた時に、その使い方を「保護者」に教わった青少年のリテラシーが高いことから、家庭等においてインターネットの使い方を教える環境づくりが重要だと指摘しています。

３．最近の個人情報漏えい事故（2015年11月）

　下記の表は、先月11月に発生した個人情報漏えい事故一覧です。会社や組織で公表されているもので、かつ当社で把握しているものであり、国内すべての事案というわけではない点につきましてはご了承願います。
　※情報セキュリティに特化したニュースサイトであるSecurity Next、その他マスコミで報道されたものをまとめたポータルサイト、各行政や企業がWebサイトで公表したものを参考に当社作成。

※飲食店や電車内での鞄や端末の紛失、置き忘れについて

　詳細が公表されることはあまりありませんが、年末の忘年会シーズンや連休前に飲酒によって鞄を携帯電話、スマホ、記憶媒体ごと紛失してしまう事故が多く発生します。
　業務上、個人情報を含む記憶媒体や書類等を持ち出す場合には、情報持ち出しの規則や、今自分が扱っている情報の重要性をあらためて認識し、紛失することのないよう注意が必要ですし、社内での注意喚起もこの時期、行うべきだといえます。
　皆さまもお気を付けください。

セミナーや研修について

　当社ではSNS利用上のリスクや情報管理（主に情報漏えい対策）に関して、セミナーや研修を企業・自治体・学校、病院等の分野で数多く実施しております。
　セミナーや研修を通じて、新社会人（新入生）に限らず、全社的に教育を実施しインターネットの特性や情報リテラシーの理解、意識の向上を検討されている際は是非ご相談ください。

【お問い合わせ】

株式会社エス・ピー・ネットワーク 総合研究室

Mail：souken@sp-network.co.jp

TEL：03-6891-5556