不正アクセスによる情報漏洩を防止するため、速やかに実施すべきこと
～ＩＰＡのページよりポイントをご紹介～
投稿：舩生好幸（ISACA認定CISA、IPA登録 セキュリティプレゼンター）2026.10.15
このところ国内の企業等に対して、ランサムウェアやAIの悪用等によると思われる不正アクセスの被害や、情報漏えい事案の公表などが相次いでいます。
このことから、独立行政法人 情報処理推進機構（ＩＰＡ）では、
と題したページを公開し、警戒と対策の実施を呼びかけています。
本ブログでは上記ページの見出し等に基づき、緊急性の高いポイントを要約してご紹介します。
（コンテンツ全体、及び最新情報は下記URLよりIPAの該当ページをご確認ください。）
ーーーーーーーーーーーーーーーー
〇概要
直近において、国内の金融機関や通信事業者等の幅広い事業者から、不正アクセスの被害による情報漏えい事案の公表が相次いで行われています。特に、大量の個人情報を取り扱うオンラインサービス・アカウントサービス等に関するシステムが不正侵入され、個人情報を含むデータが窃取される事案が相次いでいるところです。
その様な大量の情報資産を保有する事業者や機微な情報を取り扱う事業者等の経営者におかれては、サイバーセキュリティリスクが自社のリスクマネジメントにおける重要課題であることを認識し、自らのリーダーシップのもとで対策を進めることが必要です。
経営責任として情報漏えいを起こさないためのサイバーセキュリティ対策の点検や見直しを至急実施願います。
〇速やかに行うべき点検（3項目：筆者追記）
現段階では、特定のプロダクトやサービスの脆弱性を狙った攻撃とは断定されておらず、公表事例の傾向から、外部公開しているアプリケーションやサービスの侵害、アカウントの侵害が起点となっていることがうかがえます。これらを踏まえた、速やかに行うべき点検は以下の通りです。
＊外部に公開しているアプリケーションの精査
・自組織が独自に構築・運用している外部公開アプリケーションやサービスがあるかどうかを確認してください。
・各アプリケーション、サービス単位で直近のログに異常が記録されていないか確認してください。
・各アプリケーション、サービスの構成要素に現在未適用の脆弱性対応パッチがないか確認してください。
＊自組織が利用している外部サービスの洗い出し
・自組織が利用している外部サービスをすべて洗い出してください。
・サービス単位のログに異常が記録されていないか確認してください。
・サービス単位のアカウントに異常がないか確認してください。
＊保有データの再点検
今回の多くの事案は情報漏えいにつながっています。情報を窃取されてしまうと、情報の悪用はもとより、「窃取した情報を公開する」と脅迫されたり、不正売買されるなど、情報を悪用した二次被害が拡大する傾向が強まっていますので、不要な情報は持たない、という基本原則のもと、自らが保有する情報資産を正確に把握し、必要最小限にする等、保有情報の再点検も必要です。これらの点検作業についても、速やかにおこなってください。
〇速やかに取り組むべき対策（3項目：筆者追記）
前述の点検で異常がなかったとしても、外部公開アプリケーション、外部から利用可能なサービス、保有するデータについては、以下に示すような、より強固な対策を取ることを検討してください。
＊外部に公開しているアプリケーションについてその後取り組むべき対策
・外部公開範囲の見直し
・認証機能（多要素認証・パスワード）の強化
・アカウントへの権限付与の見直し
・API連携等アプリケーション構成要素単位での管理状況の見直し
・アプリケーション構成要素単位での権限付与等見直し
・ログ取得内容、保持期間の見直し
・追加実装可能なセキュリティ対策の検討
＊自組織が利用している外部サービスについてその後取り組むべき対策
・認証機能（多要素認証・パスワード）の強化
・アカウント付与の範囲見直し
・アカウント棚卸の運用見直し
・API連携等アプリケーション構成要素単位での管理状況の見直し
・ログ取得内容、保持期間の見直し
・適用可能なセキュリティ対策の検討
＊保有するデータについてその後取り組むべき対策
・データ保有の是非の再検討
・データ保管場所の再検討
・データアクセスのログ取得内容、保持期間の見直し
・データの暗号化
〇総合的なサイバーセキュリティ対策の更なる推進
しっかりとしたサイバーセキュリティ対策のためには、このような緊急的な点検、対策ののちに、社内体制の整備だけでなく、国外拠点や取引先まで考慮した対応が必要です。
経産省の「サイバーセキュリティ経営ガイドライン」などを参考にしつつ、経営者のリーダーシップのもと取り組みを進めてください。
ーーーーーーーーーーーーーーーー
＊以上、IPAの当該ページの情報に基づき、緊急性が高く特に重要と思われる内容を、抜粋してご紹介しました。
上記ページの掲載内容は適宜更新される旨アナウンスされています。
その他、参考となる情報も多数掲載されていますので、詳細は下記URLよりIPAのページをご確認ください。
（Primary-f／向実庵 代表）
＜ご案内＞
Primary-fでは、事業者様の「人と事業を守る」ため、中小企業庁及びＩＰＡが推進する「できるところから始めて段階的にステップアップ」の取り組みに沿った情報セキュリティ関連サービスをご提供いたします。
詳しくはこちらよりお入りください。
コメント