国家サイバー統括室が個人情報漏えい対策の文書公開

この文書は、顧客の個人情報が漏えいする不正アクセス事案が相次いだ後に公表された。NCOはこうした事案を、特殊な攻撃ではなくソフトウェアの脆弱性や設定ミスという基本的防御の不足によるものと位置づけている。そのため指針の多くは、どのソフトウェアとバージョンを使っているかの把握、不要な露出機能の停止、リリース前のテストといった基本のチェックリストになっている。

8項目は運用・管理、設計・開発、サプライチェーンの3領域に分かれる。運用ではNCOはサーバーとネットワーク機器を優先的に対応すべき対象として挙げ、露出した管理画面、開発・テスト環境、クラウドストレージの共有設定ミスをよくある侵入口として指摘する。AIは攻撃経路の発見やアラートの選別に使うツールとして登場し、その推論を人が確認して最終判断を下す要件が明記されている。

サプライチェーンの節は、自社の防御は万全でも委託先の失態が被害を招くシナリオを扱う。多要素認証、送信元IPの制限、業務時間内のみの接続、契約へのセキュリティ要件の明記を推奨する一方、コスト分担や実施方法は協議が必要だと注記する。OSSと外部ライブラリについては、ゼロデイや重大な脆弱性への迅速な対応体制を強調し、契約条件としてのSBOM提出も挙げている。NCOは最後に、これらの対策は現在の攻撃手法を対象としつつ、より高度化するAIの悪用も想定すべきだと述べている。