2026-10-21
内閣官房国家サイバー統括室は、10月14日、「不正アクセスによる漏えい等の事案を踏まえた対応についての注意喚起等について」として、不正アクセスによる個人情報等の漏えい事案が、幅広い分野の事業者・団体等で相次いで発生していることをうけ、国家サイバー統括室をはじめ関係機関で、漏えいした情報の悪用による被害を防ぐための対策等に関する注意喚起を行っていることを公表し、各機関の注意喚起や対策に関する情報をまとめて掲載しているウェブサイト情報を公表した。
内閣官房国家サイバー統括室が10月9日に公表した「不正アクセスによる漏えい等の事案を踏まえた対応についての注意喚起」では、個人情報を含むデータが窃取される事案への対策のポイントとして、１．ウェブシステム等の適切な管理、２．サプライチェーンを通じた侵害への対策、３．データの適切な管理をあげて、下記のような具体的な対策を説明しているため、参考にするとよい。
１．ウェブシステム等の適切な管理
インターネットに公開されているシステムは特に攻撃の対象となりやすいため、「いつ攻撃を受けてもおかしくない」という前提で対策を講じることが重要です。
具体的には、（１）脆弱性の適切な管理として、〇OS、ミドルウェア、CMS（コンテンツ・マネジメント・システム）、アプリケーション等のセキュリティパッチやアップデートを速やかに適用する、〇サポートが終了している製品・バージョンを利用しない、〇利用していないシステムや機能は停止・削除する対策等を行うことが必要で、また、（２）アカウント管理・認証として、〇多要素認証（MFA）を導入する、〇推測されやすいパスワードの使用を禁止する等の対策を行い、（３）レジリエンスの向上として、〇ログを適切に取得・保管する、〇侵入検知・防御システムを活用し、パターンファイル等を定期的に更新する等の対策を行うことが重要とされています。
２．サプライチェーンを通じた侵害への対策
攻撃者は、比較的防御が弱い委託先企業等を足掛かりとして侵入し、その後､標的となる企業ヘアクセスを拡大する手口を用いることがあるため、「委託先企業と共に管理する」という認識の下で、適切な安全管理措置を講じることが求められます。
具体的には、（１）委託先企業等のセキュリテイ対策状況の把握として、〇個人情報や業務情報の取扱状況を定期的に点検する、〇セキュリテイ認証の取得状況や監査結果を確認することが必要で、（２）委託契約におけるセキュリテイ要件の明確化として、〇情報の取扱方法を明確に定める、〇アクセス権管理やログ管理の実施を求めることも必要になります。また、（３）情報共有範囲の適正化や（４）サプライチェーン全体のリスクマネジメントについて検討することも必要とされています。
３．データの適切な管理
企業が保有する個人情報や業務情報は重要な経営資産ですが、不必要な情報の保有や、アクセス権限の管理や保管方法が不十分である場合には、不正アクセスを受けた際に被害が大規模化するおそれがあります。そのため、「保有する情報資産を守る」という視点に立った安全管理措置が求められています。
具体的には、（１）保有する情報資産の適切な管理、（２）保有情報の最小化、（３）適切なアカウント管理・アクセス制御、（４）データ保護の徹底、（５）ログの取得・監視・分析の強化を行うことが必要になります。
（参考）不正アクセスによる漏えい等の事案を踏まえた各機関による注意喚起等について
https://www.cyber.go.jp/news/20261014.html
