# オープニング #生産性を底上げするには どうもー。セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて 解説しております。 ということでね、今日は生産性を底上げする2話に関する話なんですけども そうですね、もう これにつきますかね、AIを使う、もう一択ですね。 もう自分自身、心の底から実感しています。 社長を退任して、はや1年半ですかね、ずっと 一人ぼっちで仕事をしているわけなんですけども、そんなですね、一人会社というか ほぼ個人事業主みたいな感じで、ここまでやれているのはですね 本当にAIがあってこそだと思っていますので、サムアルトマン様々というかですね アンソロピックにも、Googleにもですね、ところから感謝しているところでは あるわけなんですけども、逆にですね、これ以前も お話したかと思うんですけども、注意しなきゃいけないのが AIによってですね、その生産性は底上げというかですね、爆上げ ある意味無限にですね、拡張できるなという実感があるんですけども その結果ですね、限界が訪れるのは人間が先というところがあります。 これ本当にですね、AIがない時代を思い出してみるとですね、やっぱりこの調査したいとか あとは作業的なタスクですね、こういったところでだいたい我々の生産性って 下がっていたというふうに思うんですけども、ちょっと見方を変えればですね、そういった ちょっと生産性を下げるような、考えるような時間ですね このタイミングで我々というかですね、僕自身も一息ついていたんだなということを 実感しています。で、AIをですね、使い倒して、そういった調査だったり作業だったりの時間をですね 完全に切り出して、AIに任せるということができていますので、その ちょっとした無駄な時間というかですね、その一息つく時間がですね 削減された結果、生産性が上がっていると、この構造をですね 十分に理解必要があるかなと思っていまして、ですので言葉を変えればですね 息つく暇もなく生産性だけが上がっていくというところですね こういった構造の部分にしっかりと注目してですね、ぜひ人間側にですね 無理が来ないように生産性を底上げできたらいいなというふうに思っております。 ということで、今回はGitHubへの不正アクセスによって個人情報が流出した可能性が判明したというニュースについて 取り上げております。この放送を通じてリスナーの皆さんは 開発環境におけるセキュリティ管理の重要性と具体的な再発防止策について 理解を深めていただければと思います。それではどうぞ # マネーフォワードが利用する「GitHub」への不正アクセス、流出した可能性が判明した個人データの詳細公表 マネーフォワードが利用するGitHubへの不正アクセス 流出した可能性が判明した個人データの詳細公表 株式会社マネーフォワードは、6月23日、5月1日に公表した GitHubへの不正アクセスについて第4報を発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい、概要をご説明しますね。 このインシデントは、ある金融系ITサービス企業が ソフトウェア開発やシステム管理で利用しているGitHubの 認証情報が漏洩したことが発端です。 第3社がその認証情報を使って不正にアクセスし、 ソースコードなどを管理するリポジトリをコピーしました。 これにより、顧客や取引先、そして従業員の氏名やメールアドレス、 システム上の固有識別紙などの個人情報が流出した可能性が判明しています。 初動対応として対象となる方々には個別で案内を実施しています。 また、再発防止策として、業務端末のセキュリティ統制の強化や 開発環境での個人情報の取り扱いに関する社内体制の整備、 そして異常な挙動を即座に検知するリアルタイム監視体制の 構築などを進めているとのことです。 記事の中に出てきたGitHubという言葉ですが、 これは具体的にどのようなサービスなのでしょうか。 はい、GitHubについて説明しますね。 GitHubは世界中のソフトウェア開発者が利用しているプラットフォームで、 プログラムの設計図であるソースコードを保存し、 複数の人で共有したり、修正履歴を管理したりするためのサービスです。 開発チームが協力して作業を進めるために非常に便利なツールですが、 そのため、アクセスするための認証情報が漏えいしてしまうと、 今回のように重要なデータや誤って含まれていた個人情報まで 丸ごと外部に持ち出されてしまう大きなリスクがあります。 そうなんですね。 では、なぜそのような開発環境のシステムに 顧客の個人情報が含まれていたのでしょうか。 はい、とてもいい視点です。 本来、開発環境やソースコードの中に 実際の顧客情報を入れることは避けるべきです。 しかし、プログラムのテストを行う際に 本番環境のデータをコピーして使ってしまったり、 開発の過程で一時的にメモとして 個人情報を残してしまうことがあります。 今回のケースでも、 そういった開発時の手順の甘さや 社内ルールの徹底不足が原因で、 ソースコードを保管する場所である リポジトリに含まれるファイルの中に 個人情報が混入してしまったものと考えられます。 注意が必要ですね。 こういった不正アクセスの発生を検知するには、 どのような対策が有効だと考えられますか。 はい、検知についてですが、 今回のようなケースを防ぐためには、 本番環境だけでなく、開発環境においても 24時間体制での監視が非常に重要になります。 具体的には、 普段アクセスしないような海外のIPアドレスからの通信や、 深夜帯の不自然なログイン、 そして短時間に大量のデータをダウンロードするような 異常な挙動をシステムで自動的に検知する仕組みが必要です。 少しでもおかしい動きがあった場合に、 すぐに管理士にアラートが飛ぶような リアルタイム監視体制を構築することが有効です。 とても分かりやすいです。 この企業が実施した根本的な再発防止策について、 具体的に教えてもらえますか? はい。今回の企業は3つの大きな対策を実施しています。 1つ目は、安全な通信統制基盤を導入し、 認可されていない外部サイトへのアクセスを システム的に遮断することです。 2つ目は、開発環境に個人情報を混入させないための 社内体制の整備と従業員教育の徹底です。 そして3つ目が、先ほどもお話しした 開発環境での異常検知とリアルタイム監視体制の高級化です。 システム的な制限と人による運用の両面から 二度と同じ事故を起こさないための強固な対策を取っています。 徹底した対策を取っているのですね。 今回の事例から、私たちが長期的に学んでおくべき教訓は何でしょうか? はい。今回の最大の教訓は、開発環境も本番環境と同じくらい 厳重に守る必要があるということです。 多くの場合、本番のシステムにはセキュリティ投資が行われますが、 開発環境は使い勝手が優先され、セキュリティが手薄になりがちです。 しかし、攻撃者はそういった弱点をついてきます。 開発用のツールであっても認証情報を厳重に管理すること、 そして不必要な個人情報を絶対に混入させないというルールを 組織全体で継続的に確認し合うことが非常に大切です。 なるほど。開発に使う環境だからといって油断してはいけないのですね。 本番のシステムと同じように厳重なセキュリティ対策を導入し、 個人情報を扱わないという運用ルールをしっかり徹底していくことが いかに重要か、とてもよく分かりました。 開発ツールの便利さに隠れたリスクについて、また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はGitHubへの不正アクセスということで、 個人情報が流出した可能性があるということです。 さまざまな理由で、GitHub関連のインシデントが 増えているなと思っています。 例えば、単純な設定ミスであったりとか、 それ以外にも有名なところで言うと、 GitHubのサプライチェーン攻撃ですね。 NPM関連のリポジトリが汚染されてというようなこともありましたし、 あとはGitHubの内部のリポジトリが侵害された という話もありましたよね。 こういったGitHub関連のインシデントが 増えているなと思っています。 これ自体は、最近現れた新しい技術によって ということではないんですけれども、 引き続き、そういった設定周りであったりとか、 あとはインストールしていくパッケージの管理ですね。 こういったところにはしっかりと気を付ける 必要があるということかなと思っています。 仮にGitHubのリポジトリが侵害されてしまった場合の 影響に関して考えていく必要がありまして、 これが前半の話にもつながるんですけれども、 AIによってかなりリスクというのが上がってしまっているということがあります。 具体的には、ソースコードが漏えいした際に、 まずそのAIによって脆弱性がないかというのは、 もう本当に瞬時に調査されてしまうということがあります。 その結果、発見された脆弱性に対して、 これはガードレールの外側になって 防御される可能性もありますが、 場合によってはAIで攻撃されたり、その情報を持って 人間が攻撃したりということが発生するわけですね。 その期間が、時間が極めて短縮化されるということで、 ソースコードの漏えいに関しては、 今後そのリスクが上がっていること、この点を ぜひご認識いただければと思います。 今日の10分セキュリティラジオは、月曜から土曜に 祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。See you!