# オープニング #年末調整書類の準備 どうもー セキュリティチョッキーの松戸です。6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。ということでね 今日は年末調整書類の準備に関する話なんですけども もうそんな時期になりますかね。今年も残すところあと2ヶ月ちょっとということでですね 年末調整をね早速始めていらっしゃる方もいらっしゃるかもしれません。保険の支払い明細ですとか そういったものがですねあると提出すればですね 税金が返ってくるということで 年末のですね給料がいくらになるかなというね楽しみという方もいらっしゃるんじゃないかなと思います。 僕自身はですねあの現在定職なしというところもありまして 複数の組織からですねお給料だったり あとは報酬という形でお金をいただいています。そうするとですね 年末調整という制度は使えないということになりまして 確定申告をですねする必要があります。本当にですねこの確定申告は毎年思うのですけど まあ大変というかですね年々そのやり方が難しくなってくると。もちろんですねマイナンバーカードで e-tax でみたいなそういったあの利便性はですね あの上がっているんですけども まあそれとですね差し引き前さしてないかと思うくらいあのインボイスですとか あとは何ですかねいろんなこうあの税制の変更もあってですね まあどうしたらいいんだみたいなあの感じでしても本当に専門家の先生にですね聞かないと ままらならないというような感じになっております。であの場合によってはですねその 事業というかですねあの僕自身そのジョッキ用仕事ということでそのセキュリティ以外もですね 馬関連の仕事をさせていただいております まあ来月のですね11月3日には長野県でですね草競馬というものもありまして まあそこでジョッキーとしてレースに出走したりとかもしてるんですけども そういったあの収入とかも合算されまして場合によってはですねこうマイナスということも ありますので 1年間通してですねどこからどういったお金をいただいたというのをですね 夏休みの宿題じゃないんですけども3月15日に向けてはですねもう泣きながら 処理を整理するということが恒例となっております まあ今年はですねやはり年明けからスタートかなとも思っているんですけども できるだけ早くですね年末調整並みに処理の準備は前倒しでスタートしたいなというふうに思っております ということで今回は内閣官房国家サイバー統括室が発表した 不正アクセスによる情報漏洩事案を踏まえた対応について取り上げております この放送を通じてリスナーの皆さんはその具体的な内容と対策を進める上での考え方について 理解を深めていただければと思います それではどうぞ # 内閣官房国家サイバー統括室、不正アクセスによる漏えい等の事案を踏まえた対応について発表 内閣官房国家サイバー統括室不正アクセスによる漏洩等の事案を踏まえた対応について発表。 内閣官房国家サイバー統括室は10月9日不正アクセスによる漏洩等の事案を踏まえた対応について発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。内閣官房国家サイバー統括室は10月9日に不正アクセスによる漏洩等の事案を踏まえた対応を発表しました。 背景にはウェブシステムの脆弱性の悪用、サプライチェーンを通じた侵害、堅牢さを欠くデータ管理などによって大量の個人情報を扱う事業者のシステムに侵入され、データが盗まれる事案が複数あったことがあります。 影響としては個人情報の大規模な漏洩が挙げられます。 そこで大量の個人情報や機微な情報を扱う事業者に対し対策の徹底を検討するよう呼びかけました。 侵入の入り口は一つではなく、システム、取引先、データの管理と複数の面から守りを固める必要があるという考え方です。 対策の柱は三つです。 一つ目はウェブシステム等の適切な管理、二つ目はサプライチェーンを通じた侵害への対策、三つ目はデータの適切な管理です。 いずれも特別な技術ではなく日頃の管理を丁寧に行う事が中心で、規模の大小を問わず多くの組織が取り組める内容になっています。 サプライチェーンを通じた侵害とはどのようなものでしょうか? はい。自社のセキュリティが固くても業務を任せた委託先や取引先が攻撃されると、そこを足掛かりに情報が盗まれてしまう手口です。 例えば、顧客情報を扱う業務を外部の会社に委託していて、その会社が侵入されれば、自社の顧客の情報が漏れる恐れがあります。 ですから、委託先の管理状況まで確認することが重要になります。 鎖の強さは一番弱い輪で決まると言われるように、取引の輪のどこか一箇所が破られるだけで、全体に被害が広がってしまうのです。 ウェブシステム等の適切な管理では具体的に何をするのでしょうか? はい。記事では、OSやCMS、アプリケーションなどのセキュリティパッチやアップデートを速やかに適用することを最初に挙げています。 他にも、サポートが終了した製品は使わない、使っていないシステムは停止して削除する、定期的に脆弱性診断を行うといった対策があります。 さらに、多要素認証の導入や退職者などの不要なアカウントの無効化も大切です。 基本的なことの積み重ねが、侵入を防ぐ力になります。 特に、使っていない機能や古いシステムは、気づかないうちに攻撃の入り口になりやすいので、定期的な見直しが欠かせません。 委託先とはどのようなルールを決めておくべきでしょうか? はい。まず、情報の取扱い方法やアクセス権の管理、ログの管理を契約でしっかり定めておきます。 その上で、不正アクセスや漏洩が起きた時の報告義務と連絡体制も決めておきましょう。 契約を結んだら終わりではなく、再委託先まで含めて、継続的に点検することも求められています。 委託先へ渡す情報は必要最小限にして、業務が終わったらデータを削除してもらうことも重要です。 渡した情報がどこに残っているかを把握しておくことが、万一の時の被害の範囲を絞る助けになります。 それでは、データの適切な管理にはどのような考え方が必要なのでしょうか? まず、どこにどんな個人情報があり、誰が管理しているのかを把握することです。 そして、利用目的を終えた情報や保存期間を過ぎた情報は速やかに削除します。 持っていない情報は盗まれませんから、保有する情報を減らすことがとても有効な対策です。 さらに、保存ベータや通信の暗号化、アクセス権の最小化、ログの監視も併せて進めましょう。 クラウドサービスを使う場合は、公開設定の誤りで情報が見えてしまう事故も多いため、 設定を丁寧に確認することも忘れないでください。 それでは、この発表から私たち個人は何を学べば良いでしょうか? はい。記事では事業者向けですが、個人にも通じる点があります。 まず、個人情報を預けるときは、相手がきちんと管理しているかを意識しましょう。 次に、パスワードの使い回しをやめて、多要素認証を使うことです。 不要になった会員登録は退回して、預けた情報を減らすのも有効です。 また、漏洩の連絡を装った偽のメールもあるため、届いたら公式の窓口から確認するようにしてください。 メール内のリンクをすぐに開かないことも大切です。 なるほど。今回は国が呼びかけた3つの対策、つまりウェブシステムの管理、 委託先を含めたサプライチェーンの対策、そしてデータの適切な管理を学びました。 持っている個人情報を減らすことも立派な対策なのですね。 基本的な管理を地道に続けることが、結局は一番の近道だと分かりました。 私も使っていないサービスの登録を見直してみます。また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、不正アクセスによる 情報漏洩事案を踏まえた対応ということでした。 昨今の多発する情報漏洩インシデントを踏まえてですね、 様々な組織から注意喚起が出されています。 今回はですね、サプライチェーンリスクについて 改めて取り上げられていたわけなんですけども、 現在行われているAIによるサイバー攻撃によってですね、 この辺りがどのように変化するかについて少し考察をしてみました。 サプライチェーンを攻撃するためにはですね、 そのターゲットとなる組織の関連する組織をですね、洗い出していく必要があります。 親会社、子会社であったり、外部の委託先であったりですね、 あとは使っているソフトウェアだったり、セキュリティ対策も含まれてきます。 そういった関連する組織がさらに関連している組織ということですね、 そういったものをつないでサプライチェーンが作られていくわけです。 それらを人間の手によってですね、整理しながら サプライチェーン攻撃というのはですね、実行されているわけなんですけども、 この整理をですね、AIによって実現する、そういったことがですね、 おそらくプロンプト一発でできるんじゃないかという感覚を覚えた方は、 もしかしたらいらっしゃるかもしれません。 皆さんもですね、その業務整理においていかにですね、 AIが有効であるかということを体験していらっしゃる方、 多いんじゃないかなと思いますので、この情報整理ですね、 サプライチェーンのどのような構成要素があるかについては、 AIの得意分野であるというふうに感じているところです。 今日の10分セキュリティラジオは、月曜から土曜に 祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!