# オープニング #パートナーとの会話術 どうもー セキュリティ直起の松戸です。6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。 っていうことですね。今日はパートナーとの会話術に関する話なんですけども そうですね。実体験というよりもですね 世の中で言われていることをですね ちょっと寄せ集めてみようかなと思うわけなんですけども まずはですね、心理学研究の結果によるというところなんですけれども パートナーがですね話し合って 問題が解決される可能性はなんと約3割ということでですね 69%の問題は解決されないというふうに言われております。 早速ですね 絶望的な数字が出てしまったわけなんですけども だからといってですね、僕自身こう 諦めろというふうに言いたいわけではなくてですね ちょっとこうなんて言うんでしょうか 前向きになれるような、そんなですね言葉も探してみたんですけども 次が俳優の足田真奈さんのですね言葉で僕自身もですね パートナーというよりもいろんな場面でですね 思い出す言葉なんですけども パートナーだったりとか、あとは誰かにですね 裏切られたというふうに感じられたこともあると思うんですけども そんな時にですね、その人自身を信じているのではなくて 自分が理想とする人物像に期待してしまっているんじゃないかと こんなような言葉をですね 足田真奈さんがおっしゃってたということを記録しています つまりその本来の相手、それは自分自身が見えていなかった部分も含めて 本来の相手がいるわけで でそれがですね自分の期待に対して違ったということでですね 裏切られたと感じるのは多分その違うんじゃないかなというところなんだと理解しています ある意味その勝手にですね 自分の理想を相手に当てはめてしまっていたんではないかということですね そういったところを気をつけつつですね その相手に対しては信じることですね 本当に大切に思えるパートナーであればその相手自身を信じることが重要なんじゃないかということを 足田真奈さんがおっしゃらっていたということですね 非常にこういろんなですね場面場面で裏切られたというふうに僕自身感じた時にはですね この言葉を思い出しておりましたのでご参考になれば幸いです ということで今回は 外部のITサービス提供会社のシステムがサイバー攻撃を受けて 大量の顧客データが流出した可能性があるというインシデントについて取り上げております この放送を通じてリスナーの皆さんは外部委託先を経由した サイバー攻撃の恐ろしさと企業に求められる業務委託先の適切な管理方法について 理解を深めていただければと思います それではどうぞ # シチズン時計、問い合わせフォームの委託先サーバに不正アクセス ～ 個人情報約10万件漏えい可能性 七寸時計問い合わせフォームの委託先サーバに不正アクセス、個人情報約10万件漏えいの可能性。 七寸時計株式会社は、10月6日、委託先事業者への不正アクセスについて発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回起きたのは、大手時計メーカーが、 ウェブサイトの問い合わせ会用業務を任せていた外部企業のサーバーが、 第三者からの不正アクセスを受けたというインシデントです。 10月2日の夜から翌朝にかけて侵入され、約10万名群の氏名や住所、電話番号、メールアドレスなどの個人情報が不正に取得された疑いがあります。 さらに、お客様が問い合わせの文章内に銀行口座やクレジットカードの番号を書き込んでいた場合、 それらの情報も漏えいした可能性が否定できません。 同社は現在、被害の可能性があるお客様に対して個別に連絡を取る初動対応を進めており、 今後は委託先の管理体制を強化して再発防止に努めるとしています。 委託先への不正アクセスによって自社の情報が漏れるのは、いわゆるサプライチェーン攻撃という手法でしょうか? はい、おっしゃる通りです。サプライチェーン攻撃とは標的とする企業に直接攻撃を仕掛けるのではなく、 セキュリティ対策が手薄になりがちな関連会社や業務委託先を踏み台にして侵入する手法を指します。 今回の大手時計メーカーの事例でも、本体のシステムではなく、 ウェブサイトの問い合わせフォームを運用している外部のITサービス提供会社のサーバーが狙われました。 委託先が持つアクセス権限やネットワークのつながりを悪用されるため、 自社でどれだけ強固な対策をしていても防ぎきれないという非常に厄介な特徴を持っています。 なぜ企業のウェブサイトにある問い合わせフォームのサーバーがサイバー攻撃の標的にされやすいのでしょうか? はい。問い合わせフォームのシステムには、名前やネールアドレスといった顧客の個人情報が一時的、 あるいは継続的に保存される仕組みになっていることが多いからです。 攻撃者にとって、個人情報はアンダーグラウンドの市場で売買できる価値の高いデータになります。 また、ウェブサーバーはインターネット上に公開されている性質上、世界中からアクセスが可能であり、 システムの脆弱性や設定ミスを見つけられやすいという背景もあります。 そのため、システムのアップデートなどの対策が少しでも甘いと、すぐにつけ込まれてしまう危険性が高いのです。 このような不正アクセスが発生した場合、企業はどのような方法で被害に気づくことができるのでしょうか? はい。一般的な検知方法としては、サーバーやネットワークの通信記録であるログを監視する仕組みが活用されます。 今回のケースでは、10月2日の夜から翌朝にかけての不審な動きを委託先のシステムが捉え、 10月3日に大手時計メーカーへ報告が行われました。 通常と異なる大量のデータ通信や深夜帯のイレギュラーなアクセス、 あるいはセキュリティ機器からのアラートによって異常に気づくケースが多いです。 早期に検知して通信を遮断できれば、被害を最小限に抑えられますが、 発見が遅れると情報が完全に抜き取られてしまいます。 委託先のセキュリティを自社でコントロールするには、どのような根本的な対策が必要になってくるのでしょうか? 業務を外部に委託する前の段階での厳しい評価と、 委託した後の継続的な監査が非常に重要になります。 具体的には、委託先の企業がどのようなセキュリティ基準を満たしているか、 情報管理の体制がどうなっているかを契約書で明確に定める必要があります。 さらに、年に1回などの定期的なアンケート調査や、 外部の専門家を入れたシステムの脆弱性診断を義務付けることも有効な手段です。 自社の重要なデータがどこに保存され、 誰がアクセスできるのかを常に把握しておくことが、 根本的なリスク低減につながっていきます。 このような大規模な情報漏洩事故が起きた後、 企業としてどのような情報公開を行うべきなのでしょうか? インシデント発生後は、被害の拡大を防ぐとともに、 関係者への透明性の高い情報公開が求められます。 今回大手時計メーカーも、約10万件という規模や、 クレジットカード情報が含まれる可能性を率直に公表し、 対象者へ個別に連絡する姿勢を示しています。 隠蔽や公表の遅れは企業間信頼を大きく損なうため、 全速かつ正確な情報公開が不可欠です。 私たちもこの事例から、自社のシステムだけでなく、 外部の委託先のセキュリティリスクも自分たちの責任として捉え、 管理を徹底するという教訓を得るべきですね。 なるほど。自社のシステムをどれだけ守っていても、 業務を委託している外部の企業が狙われることで、 大切な顧客データが漏洩してしまう危険性があるのですね。 契約時のルール作りや定期的なチェックなど、 不可欠なのだと分かりました。また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、外部の委託先がサイバー攻撃を受けて 顧客データが流出した可能性があるというインシデントでした。 いわゆるサプライチェーンリスクと 呼ばれるものなんですけれども、 これすらはですね、かつてからあったものでありまして、 最近現れたリスクではないというところではありますが、 現状ですね、発生している情報漏洩で言われております、 AIを使ったサイバー攻撃でどのように変化するかということですね。 この辺りについてお話しさせていただくと、 結論、サプライチェーンリスクに関しても大きな影響を受けるというふうに考えています。 なぜかというところなんですけれども、よくですね、 AIかける何かみたいなことがビジネスでもですね、サービスでもよく言われるわけなんですけれども、 現状起きているこの情報漏洩並びに、 このサイバー攻撃においてはですね、 AIかけるセキュリティかける人というところがですね、 その背景に潜んでいるということが言えるというふうに思っています。 このAIかけるセキュリティだけではですね、 ここまでの脅威にはなっていないと、 脆弱性もですね、様々なものが利用されていたり、 サプライチェーン攻撃においてはですね、 本来そのターゲットとなる企業、組織のですね、 情報漏洩というのはそこには存在していないわけですね。 ですから、そういった何らかの人が関与しているということ、 そしてその人というのはですね、 かつてよりサイバー攻撃を行っていたものが 関与しているということですね。 この辺りを十分に考えて、 今後の対策に生かしていただければと思います。 今日の10分セキュリティラジオは、 月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!