- ・国家サイバー統括室による不正アクセス対策「3つの柱」の提示
- ・OSやアプリへの迅速なパッチ適用および多要素認証・権限管理等の徹底
- ・委託先を含めたサプライチェーン全体での安全管理と契約時の要件明確化
- ・保有個人情報の棚卸しやデータ暗号化・ログ監視等による適切なデータ管理
- ・IPAが提示するログの不審通信点検や不要アカウント・データの整理・即時対応
国家サイバー統括室が示す不正アクセス対策の「3つの柱」
昨今、さまざまな業界で、不正アクセスの被害による情報漏えい事案が相次いで公表されています。特に、個人情報を含むデータが窃取される事案が複数確認されています。
政府は、こうした事態を受け、各事業者に対して、不正アクセスに対する対策の見直し・強化を強く呼びかけています。
10月9日に発出された国家サイバー統括室の通知では、特に重点的に取り組むべき「3つの柱」が示されています。
一つ目は、ウェブシステム等の適切な管理です。OSやアプリのセキュリティパッチを迅速に適用すること、多要素認証やアクセス権の管理などによる認証対策の実施が求められます。
二つ目は、サプライチェーンを通じた侵害への対策です。自社だけでなく、委託先企業も含めた安全管理が必要です。契約時のセキュリティ要件を明確にし、提供する情報は必要最小限にとどめます。
三つ目は、データの適切な管理です。保有する個人情報の棚卸しを行い、不要なデータは廃棄・最小化します。保存・通信データの暗号化や、アクセスログの監視なども推奨されます。
IPAが提示する即時点検項目とインシデント対応
また、IPA（情報処理推進機構）では、不正アクセス対策として、「今すぐ実施すべき点検項目」を提示しています。
内容は、国家サイバー統括室がまとめたものとも重なりますが、直近のログに不審な通信などの異常がないか、利用中の外部サービスに不正・不要なアカウントが残っていないか、不要なデータを保持していないか、といったチェックが求められます。また、ログやアカウントに不審な点を見つけた場合には、即座にインシデント判定を行い、専門ベンダーへの調査依頼など迅速な対応が必要です。
経営課題としてのセキュリティ対策と医療機関への要請
いずれの資料においても、サイバーセキュリティリスクを経営課題として位置付け、経営層のリーダーシップのもとで対策を進めるべきだと強調されています。
医療機関においても、こうした不正アクセスの脅威は無関係ではありません。保守委託業者も含めたネットワーク全体の見直しを行い、万全なセキュリティ対策を講じることが求められます。
