# オープニング #がんばらない選択も大事 どうもー。セキュリティチョッキーの松野です。6回目のセキュリティ会社企業を目指して、 サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は頑張らない選択も大事に関する話なんですけども、 そうですね、時には頑張らなければいけない瞬間みたいなものはですね、当然あるとは思うんですけども、 その頑張り続けなければもう成り立たないみたいな、そういった状況って、おそらくですね、その構造上の問題がどこかで発生しているんじゃないかなというふうに思っています。 僕もですね、長年経営者をやらさせていただいておりまして、時にはですね、そのトラブルが発生して頑張ってねじりはじまきしてもですね、 乗り越えなければいけないなという瞬間はあるわけなんですけども、責任者というかリーダーとしてですね、 必ずその時にやらなければいけないことは、その頑張っている状況ですね、これはチーム全体としてその状態を長く続かないようにしなければいけないというのが1点。 もう1点はですね、そのトラブルを二度と繰り返さないようにしなければいけないということですね。この2つにリーダーとして全力を注ぐということをしてきました。 その結果ですね、その時に頑張る瞬間はあるもののですね、その頑張りというのはある意味、体だったり心のですね負担がかかっている状況ですので、その状況をですね、 長くは続けさせないということですね。あの従業員に過度な負担をかけさせないということは、あのリーダーの責任としてしっかりとやってきたなというふうに思っています。 ですから、その何かですね、その意図を常に張った状態のような、もうとにかく頑張らないと明日がないみたいな、そういったですね、状況が日々繰り返されているのであれば、 もしかしたらですね、そのビジネスとして何かどこか構造上の問題があったりですとか、あとはですね、リーダーが責任を果たしていないということに繋がるんじゃないかなというふうに思っております。 ということで、今回は、通信インフラを支える大規模なメールシステムで発生した情報漏洩事案と、それに対する総務省の行政指導について取り上げております。 この放送を通じて、リスナーの皆さんは、パスワードの保存方法といった基本的なセキュリティ対策の重要性や、インシデント発生時の迅速な情報公開が、いかに企業の信頼に直結するのかについて理解を深めていただければと思います。 それではどうぞ。 # KDDI の ISP 事業者向けメールシステムに不正アクセス、総務省が行政指導 KDDIのISP事業者向けメールシステムに不正アクセス 総務省が行政指導 総務省は2026年7月29日 KDDIが複数のインターネットサービスプロバイダ向けに提供するメールシステムへの不正アクセスにより 約762万人分のメール関連情報が漏洩した事案について 同社に対し文書による行政指導を行ったと発表した こちらの記事を簡単に解説お願いできますでしょうか はい 今回の事案はある大手通信事業者が複数のISP向けに提供しているメールシステムに対して 外部から不正アクセスが行われたというものです 原因としてメールボックスへのログインパスワードが暗号化などの安全管理措置が全く 講じられない状態のまま保存されていたことが挙げられます そのため第三者によって大量の通信の秘密が閲覧可能となってしまいました 初動対応についても最初の報告を受けてから事案を公表するまでに22日間を要しており 迅速な対応とは言い難いと厳しく指摘されています 再発防止策として総務省は同社に対して市販機ごとの状況報告を少なくとも1年間に 渡って行うよう指導しています 今回のニュースに出てくる通信の秘密という言葉について 具体的に教えていただけますか 通信の秘密とは誰が誰といつどのような内容のやり取りをしたかという通信に関する 一切の情報を第三者に知られないように保護する権利のことです これは憲法でも保障されている非常に重要な権利であり 電気通信事業法によって厳格に守られるべきものとされています 今回の事件ではメールの内容そのものはもちろんのこと メールアドレスやパスワードといった関連情報も漏えいしてしまったため 通信の秘密を侵害する極めて重大な事態であると総務省から重く受け止められているのです これほど大規模な情報漏えいはどのようにして発覚しなぜ公表までに時間がかかったのでしょうか はい 今回の事案ではサービスを利用している isp の一社が異常に気づき 大手通信事業者に第一歩を入れたことで発覚しました しかしそこから事案を公表するまでに22日間という時間がかかっています 一般的に大規模なシステムでは影響範囲の特定や原因究明に時間がかかる傾向があります とはいえパスワード変更などの対策をユーザーに促すためにもまずは速やかに第一歩を出すことが 求められます 情報公開の遅れは被害を拡大させる恐れがあるため 迅速な判断が不可欠でしたパスワードが暗号化されずに保存されていたとのことですが どのような対策が必要だったのでしょうか はいパスワードをそのままの状態でデータベースに保存することはセキュリティー上の大きなリスクを伴います 万が一システムに侵入された場合誰でも簡単にパスワードを読み取れてしまうからです 根本的な対策としてはハッシュ化と呼ばれる技術を用いてパスワードを不可逆的な文字列に 変換して保存することが現代の常識となっています このように基本的な安全管理措置を確実に実施しておくことが多層防御の要であり 被害を最小限に食い止めるための絶対条件といえます 企業がインシデントを起こしてしまった際どのように情報を公開するのが正しい手順なのですか はい インシデント発生時はすべての事実が判明していなくてもまずは分かっている範囲で速やかに 第一報を公表することが推奨されます 特に今回のようにユーザー側でのパスワード変更といったアクションが必要な場合は対応が 遅れるほど二次被害のリスクが高まります その後詳細な調査が進むにつれて原因や再発防止策を含めた続報を定期的に発信していくという 透明性の高い情報公開の姿勢が結果として企業の信頼回復につながっていく重要な プロセスとなります 今回の行政指導のニュースから私たち一般の it 担当者はどのような教訓を得るべきでしょうか はい最も重要な教訓はシステムの規模に関わらず パスワードの暗号化といった基本的なセキュリティ対策を決して怠ってはいけないということです どれほど複雑なシステムを構築しても基礎的な部分に抜け漏れがあればそこから全体の 崩壊につながってしまいます また万が一インシデントが発生してしまった場合には迅速かつ透明性のある情報公開を 行うための体制をあらかじめ整えておくこと そして有事の際の手順を定期的に見直すことが非常に重要であると学んでいただけます なるほどパスワードを適切に保護するという基本がいかに大切か そして問題が起きた時の素早い報告が被害を防ぐ鍵になることがよくわかりました インシデントが起きた後の誠実な対応が会社の信用を守ることにつながるのですね 自社の管理体制や緊急時の連絡ルールなど見直すべき点がたくさん見えてきました また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、大規模なメールシステムで発生した情報漏洩事案ということでした。 公表まで時間を要してしまったということで、総務省から行政指導が入ったということです。 こういった所蔵対応の遅れはですね、被害の拡大にもつながってしまうということで、速やかな対応が求められるわけなんですけれども、 それ以上にですね、企業が失う信頼みたいな部分ですね、これが今後より重大な問題となるんじゃないかなというふうに思っています。 というのもですね、我々にとってすでに不可欠な存在になったAIなんですけれども、 そのAIでですね、様々な機能的な部分というのは網羅されていくと思うんですよね。 誰でもコーディングができるようになりますし、誰でもセキュリティの分析もできるようになるんじゃないかなというふうに思っています。 そういった状況の中でですね、人間というか会社もイコールでいいと思うんですが、 その役割としてそのAIができない部分というのを当然ながら意識しなければいけないというふうに思っています。 そういった際にですね、やはり考えられるのが責任だったり、信頼ですね、他にもあると思うんですけれども、 まずはそういったところが浮かんでくるということになります。 繰り返しになりますが、そのAIがあればですね、ある程度のことは機能的には回るという状況の中で、 あえてですね、あなたにお願いしたいと、あの会社にお願いしたいというようなことがわかってくる場合にはですね、 その人間に求められる役割である責任だったり信頼というのが当然ながらですね、強く求められるということになります。 それを全うできない会社としてはですね、当然選ばれる存在にはならないということですね。 自分自身にも強く言い聞かせたいと思います。 今日の10分セキュリティラジオは、月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!