유형별로 10 건의 정보 누출 (누출) 도입!
회사는 무엇을 취해야합니까?

近年、ニュースでサイバー攻撃や情報漏洩について報じられることが増えてきました。大企業が標的にされているのだろうと思っている方も少なくないでしょう。しかし、情報漏洩は規模に関わらず、国内外のさまざまな企業で発生しています。
情報漏洩はなぜ起こるのでしょうか。情報漏洩の原因は「外部攻撃」「内部不正」「ヒューマンエラー」と、ほぼこの3つのタイプに分けることができます。

とくに「外部攻撃」にあたるサイバー攻撃にはさまざまな種類があり、手口はますます多様化・巧妙化しています。最近ニュースなどでも取り上げられる代表的な攻撃について、簡単に解説します。

●ランサムウェア攻撃

マルウェア感染させてシステムやデータなどを使用不能にし、解除と引き換えに身代金（ランサム）を要求します。近年は暗号資産（※1）で支払いを要求するケースも増えています。

●サプライチェーン攻撃

業務上のつながりを悪用し、サイバー攻撃보안 조치가 상대적으로 적은 중소 기업은 "봄"으로 사용되며 대기업 및 조직을 대상으로합니다

●ゼロデイ攻撃

まだ認識されていないソフトウェアなどの脆弱性を狙い、修正が行われる日（＝ワンデイ）より前（＝ゼロデイ）に行われるサイバー攻撃で、未然に防ぐことが難しいとされています。

ここでは、先に挙げた情報漏洩の原因別に、実際に起こった事例を解説します。

【外部攻撃編】

まずはケースとして最も多い外部攻撃から、4つの事例を紹介します。

〈CASE : 01> 랜섬웨어 공격으로 인한 정보 유출 위기

被害を受けた協同組合は、最終的に身代金を支払わず、バックアップから自力で復旧。再稼働に2カ月余りを要しました。
同組合は、インシデントの発生を受け、組合員への進捗状況の発信や個人情報保護委員会への報告を行い、再発防止に向け、外部から接続できるネットワーク機器のセキュリティを強化。さらに情報セキュリティポリシーの見直しや職員教育を徹底すると発表しました。

〈CASE : 02> 맬웨어 감염으로부터 무단 액세스

同社では、共通化しているシステムからサーバへのアクセスを遮断し、社員に再ログインの強制実施やパスワードの変更を指示。また当該システムの認証基盤環境を分離し、ネットワークアクセス管理の強化を行うほか、外部企業を交えた再発防止策を講じています。

〈CASE : 03> 승인되지 않은 액세스로 인한 EC 사이트를 TAMMITTING 사이트

クレジットカード会社から、顧客のクレジットカード情報の漏洩について連絡を受け、カード決済を停止しました。同社では、システムのセキュリティ対策と監視体制を強化。カード会社と連携し、漏洩した可能性のあるカードによる取引のモニタリングを継続し、不正利用の防止に努めています。

〈CASE : 04> 랜섬웨어 암호화

同社はサーバへの侵入を検知後、直ちに全ネットワークを遮断。対策本部を立ち上げ、調査および復旧対応を実施しました。外部流出の可能性は低いものの、情報を閲覧された可能性はあるため、該当顧客などへの連絡、個人情報保護委員会への報告、警察への相談を行いました。

【内部不正編】

近年、増加傾向にあるのが内部不正による情報漏洩です。3つのケースを紹介します。

〈CASE : 01> 가을 직원이 고객 정보를 제기

情報の流出は元従業員の退職後に実施した社内調査によって発覚しました。同社では、不正行為が行われた事実を厳粛に受け止め、従業員に対するコンプライアンスの徹底および社内管理体制の強化により、再発防止に努めるとしています。

〈CASE : 02> 이전 임시 직원이 관리자 계정을 잘못 사용합니다

情報の持ち出しは10年以上に及んだとされ、ずさんな管理体制に対して総務省から行政指導を受けました。同社は顧客情報を扱うすべての業務において再点検や従業員教育を実施し、さらに個人情報管理体制を強化。元派遣社員は、不正競争防止法違反の容疑で起訴されました。

〈CASE : 03> 계약 직원 사기꾼 개인 정보에 따라

この件による第三者への情報流出などは確認されていませんが、自治体は被害届を提出し、捜査協力を行いました。委託先企業に個人情報の取り扱いや業務管理の徹底を求めるとともに、対策防止策および情報管理の徹底を図り、信頼回復に努めるとしています。

【ヒューマンエラー編】

うっかりミスは誰もが一度は経験しているのではないでしょうか。ここからは、ヒューマンエラーの事例を3つ紹介します。

〈CASE : 01> 직원이 USB 메모리를 꺼내거나 잃어버린 직원

외부 세계에 잃어버린 USB 메모리에 저장된 개인 정보의 유출은 확인되지 않았지만, 우리는 관련 환자에게 사과하고 문의 데스크를 설립하여 지방 정부에보고했습니다 재발을 방지하기 위해 병원 규정 및 매뉴얼을 검토하고 개인 정보 취급 및 정보 보안에 관한 직원에게 교육을 제공했습니다

〈CASE : 02> 직원이 보낸 이메일

自治体は事実関係の確認後に、誤送信先の6園にデータの削除を依頼し、各園からデータの削除や受信取り消しの報告を受けました。今後の対策として、データ管理や添付ファイルの内容チェックを徹底するとしています。

〈CASE : 03> 클라우드 환경의 잘못된 설정

情報漏洩の発覚後、外部からのアクセスを遮断し、すべてのクラウド環境を含めて調査を実施。さらに専用のコールセンターを設置しました。今後の対策として、従業員への教育を徹底し、またクラウド設定を監査するシステムを導入しました。

情報漏洩対策の強化は、企業にとって急務と言える課題です。最後に、企業が取り組むべき情報漏洩対策について紹介します。

「事後的な対応」も視野に入れる

セキュリティ対策に「絶対」はありません。そこで近年は、情報漏洩が起きてしまった「事後」も含めて対応を考えておくことが重要とされています。
IPA (독립 행정 기관)情報漏洩発生時の対応ポイント集を簡潔にまとめています。情報が漏洩してしまったときに何をすべきか、こちらも参考にするとよいでしょう。

今回は、情報漏洩の事例をタイプ別に紹介しました。情報漏洩は、「外部攻撃」「内部不正」「ヒューマンエラー」によって発生します。情報漏洩が発生すると、自社の業務に大きな影響を与え、社会的信頼の失墜にもつながります。情報漏洩のリスクを極力抑えるためには、十分なセキュリティ対策が必要です。今回紹介した事例などを自社のセキュリティ対策の参考になさってください。

saxa-dx