皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

昨年は『情報セキュリティ10大脅威公開』、一昨年は『情報セキュリティ10大脅威決定』という記事にて取り上げましたが、一昨日、IPA（独立行政法人情報処理推進機構）が『情報セキュリティ10大脅威2020』を公表しましたのでご紹介します。

これは、2019年に発生した社会的に影響が大きかったと考えられる情報セキュリティにおける事案から、IPAが脅威候補を選出し、情報セキュリティ分野の研究者、企業の実務担当者など約140名のメンバーからなる『10大脅威選考会』が脅威候補に対して審議・投票を行い、決定しています。

情報セキュリティ10大脅威2020

＜組織の10大脅威＞

1位：標的型攻撃による被害（昨年順位：1位）

2位：内部不正による情報漏えい（昨年順位：5位）

3位：ビジネスメール詐欺による金銭被害（昨年順位：2位）

4位：サプライチェーンの弱点を悪用した攻撃（昨年順位：4位）

5位：ランサムウェアによる被害（昨年順位：3位）

6位：予期せぬIT基盤の障害に伴う業務停止（昨年順位：16位）

7位：不注意による情報漏えい（規則は遵守）（昨年順位：10位）

8位：インターネット上のサービスからの個人情報の窃取（昨年順位：7位）

9位：IoT機器の不正利用（昨年順位：8位）

10位：サービス妨害攻撃によるサービスの停止（昨年順位：2位）

＜個人の10大脅威＞

1位：スマホ決済の不正利用（初）

2位：フィッシングによる個人情報の詐取（昨年順位：2位）

3位：クレジットカード情報の不正利用（昨年順位：1位）

4位：インターネットバンキングの不正利用（昨年順位：7位）

5位：メールやSMS等を使った脅迫・詐欺の手口による金銭要求（昨年順位：4位）

6位：不正アプリによるスマートフォン利用者への被害（昨年順位：3位）

7位：ネット上の誹謗・中傷・デマ（昨年順位：5位）

8位：インターネット上のサービスへの不正ログイン（昨年順位：8位）

9位：偽警告によるインターネット詐欺（昨年順位：6位）

10位：インターネット上のサービスからの個人情報の窃取（昨年順位：12位）

以上のような内容で公表されています。

組織においては廃棄予定のHDD（ハードディスクドライブ）が社員に不正に持ち出され、ネットオークションなどで転売されたことなど、『内部不正による情報漏えい』の順位が上昇しています。

また、個人においては『キャッシュレス決済』における『セキュリティ対策の不備』などにより『スマホ決済の不正利用』が初登場で1位という結果となりました。

こららの詳細な解説は、2月下旬にIPA 独立行政法人情報処理推進機構のウェブサイトにて公開予定となっています。

参考資料：『IPA プレスリリース『情報セキュリティ10大脅威 2020』を決定（PDFファイル：242KB）*』

（*）資料配布元：IPA 独立行政法人情報処理推進機構

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

冒頭に書いた事件は他人事ではありません。

他の公官庁や企業においても同じことが起きており、自社においても起き得ないとは言えない事件です。

では、一連の流れの中で何に問題があったのでしょうか？

委託業者任せは情報流出を招く可能性

まず、報道を見る限りでは以下のように書かれています。

・HDD（ハードディスク）は神奈川県と富士通リースがリース契約を結び、今年の春まで神奈川県のサーバーで使用していたもの。

・リース契約満了に伴い、HDD（ハードディスク）は神奈川県が初期化作業にてデータを消去した後、富士通リースに返却された。

・富士通リースはブロードリンクにHDD（ハードディスク）のデータ消去作業を委託した。

・ブロードリンクの社員がHDD（ハードディスク）を盗み、オークションサイトで転売した。

・オークションで落札した購入者が情報提供し、一部のHDD（ハードディスク）は返却された。

概ねこのような流れのようですが、ここにはいくつかの問題点があります。

・神奈川県から富士通リースにサーバーが返却される際、何故神奈川県内部にてデータの復旧を不可能にする作業を行わなかったのか。

（消去の方式はいくつかありますが、時間を要するだけで手順に沿って行えば誰でも行える作業です。）

・リース契約とは言え、記憶装置に関しては返却しない契約にできなかったのか。

（データを一定の基準以上の方式にて消去し、その後に物理的に破壊することを神奈川県にて行えば良かったと思える。）

・神奈川県、富士通リースともに、何故委託先業者に任せたままであったのか。

※　ここでブロードリンクに対する疑問を記載していないのは、あまりにも管理体制がずさん過ぎるとしか言えないため記載するまでもない論外的な話として捉えてください。

これらの内容に関しては他人事ではありません。

個人情報をはじめとする多くの情報を事業者は必ず抱えています。

神奈川県の問題と同じことが起きないよう、自社においても記憶装置に関する廃棄手順をしっかりと策定し、それを遵守していくことが非常に重要であると言える事案です。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

昨年も『情報セキュリティ10大脅威決定』という記事にて取り上げましたが、昨日、IPA（独立行政法人情報処理推進機構）が『情報セキュリティ10大脅威2019』を公表しましたのでご紹介します。

これは、2018年に発生した社会的に影響が大きかったと考えられる情報セキュリティにおける事案から、IPAが脅威候補を選出し、情報セキュリティ分野の研究者、企業の実務担当者など約120名のメンバーからなる『10大脅威選考会』が脅威候補に対して審議・投票を行い、決定しています。

情報セキュリティ10大脅威2019

＜組織の10大脅威＞

1位：標的型攻撃による被害（昨年順位：1位）

2位：ビジネスメール詐欺による被害（昨年順位：3位）

3位：ランサムウェアによる被害（昨年順位：2位）

4位：サプライチェーンの弱点を悪用した攻撃の高まり（初）

5位：内部不正による情報漏えい（昨年順位：8位）

6位：サービス妨害攻撃によるサービスの停止（昨年順位：9位）

7位：インターネットサービスからの個人情報の窃取（昨年順位：6位）

8位：IoT機器の脆弱性の顕在化（昨年順位：7位）

9位：脆弱性対策情報の公開に伴う悪用増加（昨年順位：4位）

10位：不注意による情報漏えい（昨年順位：12位）

＜個人の10大脅威＞

1位：クレジットカード情報の不正利用（昨年順位：1位*1）

1位：フィッシングによる個人情報等の詐取（昨年順位：1位）

3位：不正アプリによるスマートフォン利用者への被害（昨年順位：4位）

4位：メール等を使った脅迫・詐欺の手口による金銭要求（初）

5位：ネット上の誹謗・中傷・デマ（昨年順位：3位）

6位：偽警告によるインターネット詐欺（昨年順位：10位）

7位：インターネットバンキングの不正利用（昨年順位：1位）

8位：インターネットサービスへの不正ログイン（昨年順位：5位）

9位：ランサムウェアによる被害（昨年順位：2位）

10位：IoT 機器の不適切な管理（昨年順位：9位）

（*1）クレジットカード被害の増加とフィッシング手口の多様化に鑑み、2018年個人1位の『インターネットバンキングやクレジットカード情報等の不正利用』を本年から、①インターネットバンキングの不正利用、②クレジットカード情報の不正利用、③仮想通貨交換所を狙った攻撃、④仮想通貨採掘に加担させる手口、⑤フィッシングによる個人情報等の詐取、に分割。

以上のような内容で公表されています。

また、今後の脅威に対する懸念として、AI（人工知能）を用いた新たなサイバー攻撃に対しても触れられています。

参考資料：『情報セキュリティ10大脅威 2019（PDFファイル：3.98MB）*2』

（*2）資料配布元：IPA 独立行政法人情報処理推進機構

それは単なる他人事ではありません。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

このブログにおいても『アカウントの情報漏えいを確認』という記事にてご紹介したことがありますが、先日、各メディアでも取り上げられた『約7億7300万件のメールアドレス流出』以外にも、『約2122万件のパスワード流出』があったとされています。

これらの流出情報は闇ルートで流通し、拡散されています。

闇で流通するアカウントやパスワード

今回情報が公開されている『Have I Been Pwned（HIBP）』を運営しているのはセキュリティ研究者で、このセキュリティ研究者も自身のメールアカウントやパスワードが流出していたことを確認しています。

私も以前の『情報漏えいから派生するスパム』という記事を投稿した時点でメールアドレスを確認した際、メールアドレスやパスワードなどが流出していることが判明し、即座に見直しを行った記憶があります。

そして、新たに追加で公開されているものとして『Pwned Passwords』というものがあり、ここでは使用している（使用していた）パスワードが流出していたかが確認できます。

ただし、メールアドレスのチェックもパスワードのチェックも、過去に使用していた変更済みのものも含まれています。

これらの流出した情報は闇ルートで流通しているため、そのままにしておくことでさまざまな被害に遭うことを意味しています。

それを防ぐための警鐘とも言えます。

普段使用しているメールアドレスを変更してしまうことは取引先などとの関係もあり難しい場合もありますが、パスワードに関しては流出しているのであれば変更しなくてはいけません。

願わくば『パスワード生成ツール』などを使って解読されにくいパスワードを作成・使用し、パスワードの使い回しをしないことが重要です。

もちろん複雑なパスワードがいくつもあれば覚えておくことは難しいでしょうから、パスワード管理ツールなどを使って安全に管理しておくことも必要と言えるでしょう。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

先月末、IPA（独立行政法人情報処理推進機構）が『情報セキュリティ10大脅威2018』を公表しましたのでご紹介します。

これは、2017年に発生した社会的に影響が大きかったと考えられる情報セキュリティにおける事案から、IPAが脅威候補を選出し、情報セキュリティ分野の研究者、企業の実務担当者など約100名のメンバーからなる『10大脅威選考会』が脅威候補に対して審議・投票を行い、決定しています。

情報セキュリティ10大脅威2018

＜組織の10大脅威＞

1位：標的型攻撃による情報流出（昨年順位：1位）

2位：ランサムウェアによる被害（昨年順位：2位）

3位：ビジネスメール詐欺（初）（昨年順位：ランク外）

4位：脆弱性対策情報の公開に伴い公知となる脆弱性の悪用増加（昨年順位：ランク外）

5位：セキュリティ人材の不足（初）（昨年順位：ランク外）

6位：ウェブサービスからの個人情報の窃取（昨年順位：3位）

7位：IoT機器の脆弱性の顕在化（昨年順位：8位）

8位：内部不正による情報漏えい（昨年順位：5位）

9位：サービス妨害攻撃によるサービスの停止（昨年順位：4位）

10位：犯罪のビジネス化（アンダーグラウンドサービス）（昨年順位：9位）

＜個人の10大脅威＞

1位：インターネットバンキングやクレジットカード情報の不正利用（昨年順位：1位）

2位：ランサムウェアによる被害（昨年順位：2位）

3位：ネット上の誹謗・中傷（昨年順位：7位）

4位：スマートフォンやスマートフォンアプリを狙った攻撃の可能性（昨年順位：3位）

5位：ウェブサービスへの不正ログイン（昨年順位：4位）

6位：ウェブサービスからの個人情報の窃取（昨年順位：6位）

7位：情報モラル欠如に伴う犯罪の低年齢化（昨年順位：8位）

8位：ワンクリック請求等の不当請求（昨年順位：5位）

9位：IoT機器の不適切な管理（昨年順位：10位）

10位：偽警告（初）（昨年順位：ランク外）

以上のような内容で公表されています。

これらの多くは、『組織』、『個人』、ともに新たな出現による脅威ではなく、引き続きこれらの脅威への対策を行っておくことが重要とされています。

また、組織においては『セキュリティ人材の不足』は大きな課題であるとも言えます。

情報流出した可能性があるのは、『JTBホームページ』『るるぶトラベル』『JAPANiCAN』のサイトもしくは販売提携先のサイトを利用し、2007年9月28日から2016年3月21日までの間にオンライン予約をした顧客の個人情報。

この中には、NTTドコモが提供している『dトラベル』を利用した約33万人分の個人情報も含まれている。

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

またもや標的型攻撃メールによる事件が起きました。

この標的型攻撃メールは大企業や公官庁だけが標的として攻撃されるわけではなく、標的となる組織と関係がある中小企業なども攻撃を受けた事例もありますので注意が必要です。

標的型攻撃メールとは

標的型攻撃メールとは、ターゲットである企業などから重要な情報を盗むことなどを目的として、企業の担当者が業務に関係するメールだと信じて開封してしまうように巧妙に作り込まれたコンピュータウイルスが添付された電子メールを送ることなどによって始まります。

また、その時だけではなく潜伏して持続的に行われるAPT攻撃と呼ばれるものもあります。

標的型攻撃メール対策

標的型攻撃メールには下記のような特徴があります。

・取材申込、セミナー依頼、公的機関、業務的、航空券の予約、荷物の配達などを装っている

・フリーメールアドレスから送信されたものや差出人のメールアドレスとメール本文の署名に記載されたメールアドレスが異なる

・メール本文の日本語の言い回しが不自然であったり日本語では使われない漢字が使われている

これらにファイルが添付されているといったことがあります。

（今回のJTBにおける事件もそうで、件名は『航空券控え添付のご連絡』という業務的なメールに添付されたファイルを開いてしまい感染したもので、取引のある航空会社系列の販売会社のドメインではあったもののユーザー名は知らない人であった。）

これらのことをよく理解し、社内において運用ルールを徹底する（教育も行う）必要があります。

つまり、標的型攻撃メールの手口を理解し、疑わしいメールが届いた場合には添付ファイルを開封したりリンクをクリックしたりは絶対にしないことが重要です。

また、標的型攻撃メールを発見した場合には速やかに情報を集約し、企業内で情報を共有することが重要です。

追伸：個人情報保護法の改正により5,000人要件は撤廃になっておりますのでご注意を。

また、今回のJTBにおける事件は、個人情報保護法第20条（安全管理措置）、同第21条（従業者の監督）に抵触している気もします。