情報セキュリティの取り組みと今後の課題

総合研究部 上席研究員　佐藤栄俊

１．情報セキュリティの取り組みと今後の課題

1) 過去の教訓

　今やほとんどの企業が何かしら取り組んでいるはずのセキュリティ対策ですが、そのような努力にもかかわらず、実際に事故は減ってはいません。マイナンバー制度の導入、スマートフォン（スマホ）やタブレット端末などのマルチデバイス化、クラウドサービスの拡大、ビッグデータやIoTの活用など、今後も企業をとりまくIT環境は確実に変化していきます。そのような中、セキュリティ対策において鍵を握るのが、いかに組織的な目線で安全なIT利用と保護ができるかどうかではないでしょうか。

　特にサイバー攻撃者は、企業や組織よりもセキュリティインフラの構造上。優位な立場にあります。攻撃者は防御側にあるセキュリティホールを一つ見つければ、そこから様々な攻撃の手口を仕掛けられるのに対して、防御側は、全てのセキュリティホールを把握し対策を取ることが必要となりますが、これは事実上不可能です。
　例えば、度々取り上げている日本年金機構での事故は標的型メールが攻撃の侵入口です。標的型メールは、繰り返し似たようなレベルの内容が届くスパムメールとは異なり、一様にフィルタリングできるものではありません。

　2013年度中に内閣サイバーセキュリティセンター（NISC）が行った標的型メール攻撃訓練では 18府省庁の対象者約18万人のうち、1割がメールを開いたことが報告されています。つまり組織の中で10人のうち 1人は開いてしまうという計算になります。組織の業務に直接関連した件名の使用や取引のある組織からのメール送信と思い込ませる偽装など、攻撃者は失敗した攻撃から学び、また新たに得た情報を利用して標的型メールを巧妙化させています。

　日本年金機構の情報管理体制や運用上の問題点も指摘されている通りですが、業務でパソコンを利用し、メールやインターネットに接続できる環境があれば、ウィルス対策や、システムに対する脆弱性対策をしていたとしても、どの企業も同様の攻撃を受け、踏み台にされしまう可能性・危険性があるということを十分認識する必要があります。
　さらに、攻撃側の巧妙さが増すことによって、受信者がだまされる可能性も高まります。そもそも利用者に攻撃メールが届かないよう、システム的な不審メールのフィルタリングによる対策を行うことは、当然ながら不可欠なことです。ここでは、標的型メールに添付されているファイル、あるいはリンクからダウンロードされるファイルが行う通信や挙動をシミュレーションすることで不正なメールであることを検知できる対策が必要です。
　さらに加えて、侵入の発生を前提とした対策の考え方も必要となります。入口ですべての侵入を防ぐことは理想ですが、すべてにおいて万全の対策は無い以上、出口と内部での多層防御が重要になると言えます。

　ベネッセコーポレーションでの内部関係者の情報持ち出しや、日本年金機構への不正アクセス、今後さらに増加するであろう多様なサイバー攻撃を踏まえ、企業はセキュリティ態勢をどう整えてきたか、どう整えていくのか、あらためて問われる時期にあります。

2) 情報セキュリティに対する経営者の関与、組織的な取り組みについて

　5月10日、IPA（情報処理推進機構）は「企業のCISOやCSIRTに関する実態調査2016」を公開しました。本調査では企業経営者の情報セキュリティに対する関与、組織的な対策について、日・米・欧の従業員300人以上の企業を対象にアンケートやヒアリングを実施し、その結果が比較されています。調査対象は、日・米・欧の従業員数300人以上の企業のCISO(Chief Information Security Officer)、情報システム/セキュリティ担当部門の責任者、担当者に対し行われています。

▼情報処理推進機構「情報セキュリティに対する経営者の関与、組織的な取り組みについて日・米・欧で比較調査」

　調査の結果では、まずCISOが経営層として任命されている場合、情報セキュリティ対策の実施率は高くなっていることがわかり、この傾向に日・米・欧の差異はないという結果が得られています。また、CSIRT(Computer Security Incident Response Team)（※）が「期待したレベルを満たしている」と回答した割合は米国45.3%、欧州48.8%に対し、日本は14%となり、欧米の3分の1と大きく差が開く結果となっています。

　その他にも、日本はCSIRTなどの有効性を左右する最大の要素として「能力・スキルのある人員の確保」と回答した割合が73.3%と最多で、米国56.8%や欧州54.2%と比べ2割程度多くなっています。情報セキュリティを実効する人材のスキルや知識面が十分であると回答した日本の企業は25.2%であり、米国54.3%や欧州61.9%の半分以下という結果となっています。

（※）CSIRT：
（Computer Security Incident Response Team）の略で、組織内の情報セキュリティ問題を専門に扱う、インシデント対応チームやコンピュータシステムやネットワークに保安上の問題に繋がる事象が発生した際に対応する組織を指す。社内の情報システムや通信ネットワークで、ウィルス感染や不正アクセス、サービス拒否攻撃（DoS攻撃）などセキュリティ上の脅威となる現象や行為が発生した際に、組織内の対応窓口となって被害の拡大防止や関連情報の収集・告知、再発防止策の策定などの活動を行う。
　また、外部のCSIRTと連携して事件・事故の被害情報やシステムの脆弱性についての情報を共有したり、一般利用者へ情報セキュリティに関する教育や啓発、広報などの活動を行うこともある。大組織では常設の機関として専任の人員を置く場合もあるが、普段は情報システム関連の業務を行なうスタッフが事象発生時に集まって対応するという形態もある。

　近年、セキュリティ人材不足が指摘されていますが、同調査においても、半数以上の企業がセキュリティ人材を管轄する最高情報セキュリティ責任者等が未設置であることが明らかになっています。特に日本では、情報セキュリティにかかわる人材の育成や、緊急時対応や体制構築のために実効性のある要員の確保が喫緊の課題であるといえます。
　企業はセキュリティ統括者を配置して情報セキュリティ全体を管理し、経営層とコミュニケーションできる人材を充てる必要があります。

　その他、直近の会計年度にサイバー攻撃が発生していない（多くの事故や不祥事は、第三者からの通報や被害者からの報告で、はじめて発覚するということを認識する必要があります。自社の脆弱性や不備に気づいていない、もしくは放置されていることも極めて大きなリスクです。）と回答した日米欧の企業は50％以上であり、不正アクセスのなどのサイバー攻撃を受けた経験はなく、多くのCSIRTで実績や実力は未知数だと言えます。また、設置されているCSIRTなどインシデント対応組織で訓練や演習を実施していると回答したのは日本で33.4％、米国39.3％、欧州34.7％と、日米欧とも6割近くが実施していないことが分かっています。新たなサイバー攻撃に直面することに備え、定期・不定期での訓練・演習を実施し、有事に際にCSIRTが機能するか確認し、課題を把握しておくことが望まれます。

3) 攻撃や事故を前提とした対策

　情報セキュリティの分野におけるインシデントとは、コンピューターやネットワークのセキュリティを脅かす事象、すなわち、ウィルス感染や不正アクセス、不正侵入、データの改ざん、情報漏えいなどを指し、意図的であるか偶発的であるかを問いません。インシデントレスポンスは、上記インシデントに対し、主に原因の調査や対応策の検討、サービス復旧や再発防止策の実施などの対応を適切に行うことです。最近は、サイバー攻撃が増加傾向にあり、その範囲も広範にわたっています。こうした状況下で、セキュリティ対策を万全に施していたとしても、すべてのインシデントを未然に防ぐことは不可能です。

　そこで、インシデントが万が一発生した場合に迅速に対応し、被害の拡大を最小限にするための事後対応が求められます。特に、標的型攻撃などのように、特定のターゲットに対し、周到に、時間をかけて準備され、継続的に実行されるサイバー攻撃などに対応していくためには、常にメンバーや組織内で知識を共有し、事故を前提としたポリシー策定や手順を確立しておくことが重要です。

　実際にサイバー攻撃が行なわれると、インシデントの発生するタイミングや攻撃の種類は攻撃者が選択するため、システムの管理者側では予測することが困難です。管理者側の知識や技術が不足している場合や、チーム編成の不備、準備や訓練が十分に行なわれていない、見積りが甘い、などの理由により攻撃を防ぎきることができない可能性があります。
　また、標的となるのは、その多くが一般社員であり、十分な知識等をもっていない場合も少なくありません。そのためには、標的型攻撃の訓練や演習、アンケートを通じて、自社内でそのリスク（開封状況）を把握することも重要です。演習や研修、注意喚起を繰り返すことで問題点を抽出し、それを改善するとともに、インシデントの処理になれておくことで、組織全体でのサイバー攻撃への対応力を向上させることが、被害の拡大を未然に防ぐ意味でも重要だと言えます。

　2014年11月の「サイバーセキュリティ基本法」の成立以降、各省庁によるサイバーセキュリティ関連の取組みについて公表が続いています。総務省による「サイバーセキュリティ政策推進に関する提言」（2015年5月22日）や、金融庁の「金融分野におけるサイバーセキュリティ強化に向けた取組方針」（2015年7月2日）に続き、2015年12月28日には経済産業省より「サイバーセキュリティ経営ガイドライン」が発表されました。

　同ガイドラインは、 大企業及び中小企業（小規模事業者除く）のうち、ITに関するシステムやサービスなどを供給する企業及び経営戦略上ITの利活用が不可欠である企業の経営者を対象に、経営者のリーダーシップの下で、サイバーセキュリティ対策を推進するために策定されています。サイバー攻撃から企業を守るという観点で、経営者が認識する必要のある「3原則」、および経営者が情報セキュリティ対策を実施する上での責任者となる担当幹部（CISO等）に指示すべき「重要10項目」がまとめられていますので、ご参照ください。

▼経済産業省「サイバーセキュリティ経営ガイドライン」

　これまでは、顧客や取引先、消費者に対して対外的に「この対策をしているから、うちの会社のセキュリティ対策は万全ですよ」と言えるような明確かつ客観的な基準がありませんでしたが、今後、企業や組織にとって同ガイドラインが定める基準が、今後情報セキュリティ対策実施の「最低基準」となるということです。

　同ガイドラインでは、上記を踏まえた上で、”経営者”が”セキュリティリスクの脅威を認識し”、”経営者”が”対策の実施を推進すべきだ”と明記しています。つまり、”セキュリティ対策は経営者が率先して取り組むべきリスク事項である”ということが明確にされているのです。

２．最近のトピックス

【もくじ】へ

◆経済産業省「情報セキュリティ管理基準（平成28年改正版）を策定しました」

▼情報セキュリティ管理基準（平成28年改正版）

　経済産業省は、情報セキュリティマネジメントの国際規格「ISO 27001」「同27002」が改正されたことを受け、2016年改正版の「情報セキュリティ管理基準」を策定しました。
　同基準は、組織体が効果的な情報セキュリティマネジメント体制を構築し、適切な管理策を整備、運用できるよう、同省が2003年に実践的な規範として策定したものです。

　改正後の同基準は、ISOの改正に沿った内容で、有識者やパブリックコメントで寄せられた意見などを踏まえて策定されています。詳細については、次回以降の「情報セキュリティトピックス」で触れたいと思います。

◆日本情報経済社会推進協会（JIPDEC)　「マイナンバーとプライバシーマークに関する意識調査」を実施

　一般財団法人日本情報経済社会推進協会（JIPDEC）は3月3日、「マイナンバーとプライバシーマークに関する意識調査」の結果を発表しました。本調査は2月8日～9日、20代～60代の5階層における男女各100名を対象に、Webアンケートにより実施したものです。調査結果によると、回答者の約4割がマイナンバー制度に「期待している」と答え、そのうち8割以上（全体の34.2％）は「期待しているが不安もある」と回答しています。
　その不安についての回答は「個人情報が漏えいし、プライバシーが侵害される」が65.6％を占めています。また、マイナンバー制度の開始によって、企業の個人情報の取り扱いが「今まで以上に気になる」と約50％が回答しています。なお、マイナンバーの通知カードではなく個人番号カードを申請したのは14.4％にとどまっており、JIPDECではプライバシーマーク制度を推進していることから、今回の調査結果を制度運営に活かすとしています。

◆警察庁「平成27年におけるサイバー空間をめぐる脅威の情勢について」

　警察庁は、3月17日、サイバー攻撃等の状況をまとめた「平成27年におけるサイバー空間をめぐる脅威の情勢について」を公開しました。本調査によると、サイバー攻撃の情勢について、平成27年は、日本年金機構をはじめとする多数の機関や事業者等で情報窃取等の被害が発生しており、警察が連携事業者等から報告を受けたものだけで3,828件の標的型メール攻撃が発生しているとしています。

　また、標的型メール攻撃の送信先は、インターネット上で公開されていない「非公開の」メールアドレスが全体の89%を占めており、攻撃者が攻撃対象の組織や職員について事前に周到に調査し、準備を行った上で攻撃していることがうかがえます。その他にも、送信元アドレスは、攻撃対象の事業者を騙るものなど、偽装されたアドレスが全体の77％を占めていることがわかります。

　そして、標的型攻撃メールに添付されたファイルは、Word文書が添付されたものが前年の2%から53%に大幅に増加しており、添付ファイルを開くと、情報窃取等を行うウィルスが自動的にダウンロードされ、パソコンに感染する手口が確認されています。
　一方、不特定多数にメールを送りつける「ばらまき型」攻撃も引き続き多数発生しており、平成27年には3,508件が確認されています。その多くは、品物の発送代金の請求等の業務上の連絡を装ったものだったということです。

　警察庁では、メールを用いたサイバー攻撃の傾向を踏まえた対策として、「不審なメールを安易に開封しない」「端末やサーバーに導入しているOSや各種ソフトウェアを最新の状態に維持する」「送信元メールアドレスを詐称する手口への対策として、電子メールの送信元ドメインが詐称されていないかを検査するための仕組みなどの、ドメイン認証技術を導入すること」などを挙げている。

　今年度においても、標的型攻撃への注意喚起と備えが引き続き必要になります。人の注意だけで騙しを完全に防ぐことは非常に困難ですが、一方で、実際の攻撃を見てみると、注意すれば不審な点に気づける攻撃が多いことも事実です。典型的な手口を知ることや訓練などして攻撃に備え、多層的な防御策の一つとして、情報を取り扱う「人」の注意力を高める努力を怠らないことが肝心です。

◆個人情報保護委員会「マイナンバー（個人番号）ヒヤリハットコーナー」

　個人情報保護委員会は、「マイナンバーヒヤリハットコーナー」を開設し、マイナンバー関連でトラブルへ発展する可能性のある事例について情報提供を行っています。マイナンバーが漏洩する可能性があった「ヒヤリハット」の事例のほか、企業と従業員間でトラブルに発展しうる事例について取りまとめられています。

　「トラブル」が予想される事例としては、マイナンバーの安全管理措置について勤務先に問い合わせたところ、委託業者に問い合わせるよう言われたが、委託先が回答しないケースなどを紹介しています。さらにクラウド上でマイナンバーが保管するものの、事故発生時の責任が不明確なケース、勤務先からマイナンバーの提供を求められ、難色を示したら解雇すると言われたケースなどを「転ばぬ先の事例集」としてまとめられているので、ご参照ください。

▼番号制度ヒヤリハット事例集

• 住民票（写）の「個人番号」欄に記載されている番号が、マイナンバー（個人番号）であることを知らずに、住宅ローンの申込みのために金融機関に提出しようとした
• 個人ローンの申込のため、金融機関から住民票（写）の提出を求められ、マイナンバー（個人番号）の記載された住民票（写）の交付を申し込んでしまった
• 人事異動があったので「従業員名簿」を修正し、社内の電子掲示板に掲示しようとしたところ、誤って同じフォルダに保存していた「個人番号管理簿」を掲示しそうになった
• 財布を紛失したため、拾得物カウンターに遺失物届を出す際、財布の内容物を確認され、個人番号の通知カードが入っていたため、遺失物として「通知カード」と記載し、あわせて個人番号を記載しそうになった
• 個人番号が記入された書類を施錠できるキャビネットに保管していたが、書類を整理せずに積み重ねていたため、年度末の文書廃棄の際、廃棄する書類と一緒に捨ててしまいそうになった

３．最近の個人情報漏えい事故（2016年3月、4月）

【もくじ】へ

　下記の表は、今年3月と4月に発生した個人情報漏えい事故一覧です。会社や組織で公表されているもので、かつ当社で把握しているものであり、国内すべての事案というわけではない点につきましてはご了承願います。
　※情報セキュリティに特化したニュースサイトであるSecurity Next、その他マスコミで報道されたものをまとめたポータルサイト、各行政や企業がWebサイトで公表したものを参考に当社作成。

　3月、4月の事故の傾向として、メールの誤送信が多く発生しています。（事案番号：「7」、「10」、「14」、「16」、「19」、「23」、「27」、「38」、「42」、「43」、「45」、「54」）

　事故の要因としては、システムの不具合によるものもあれば、ToとCc、Bccの誤認識、打ち間違え等によるうっかりミスや不注意等の多様な形態があります。その他よくありがちなパターンとしては、メールの転送と返信を間違えてしまったり、オートコンプリート（候補表示）で宛先を間違えてしまうこともあります。また、電子メール送信時は、誤送信しても送信者自身がその事態に気づかないことが多いことも大きな特徴です。

　メールアドレス一つだけでも、個人情報に該当するケースが多く、誤送信事故が発生すれば企業として管理体制や対応の質が問われることになります。さらに、メールアドレスだけではなく、社外秘の内容や機密情報といった営業秘密や機微な情報が添付もしくは記載されていれば、それだけで企業にとって極めて重大な事故に発展しかねません。

　電子メールは今や業務に欠かせない重要な情報通信手段であると同時に、未だに事故が多く発生しています。電子メールの誤送信対策としては、システム的な施策（送信前の承認や自動暗号化等）以外にも、人的な脆弱性を克服していくためにも、各自が電子メールを送信する際に宛先、送信内容、同報送信の種類、添付ファイルを十分確認するプロセスについて、あらためて（何度でも）注意喚起し続ける必要があります。

【よくあるケース】

• 社内宛てのメールを同姓の他企業の人に送信してしまった。
• 他社向けの提案資料や見積りファイルを間違えて添付してしまった（しかもファイルパスワードや暗号化設定なし）。
• メールアドレスを、Bcc ではなく To/Cc に設定したため、同報している全員に宛先情報を公開してしまった。

セミナーや研修について

　当社ではSNS利用上のリスクや情報管理（主に情報漏えい対策）に関して、セミナーや研修を企業・自治体・学校、病院等の分野で数多く実施しております。
　セミナーや研修を通じて、新社会人（新入生）に限らず、全社的に教育を実施しインターネットの特性や情報リテラシーの理解、意識の向上を検討されている際は是非ご相談ください。

【お問い合わせ】

株式会社エス・ピー・ネットワーク 総合研究室

Mail：souken@sp-network.co.jp

TEL：03-6891-5556