相次ぐ情報窃取、政府が企業に対策要請 見直すべき“3つのポイント”とは：そのデータ、本当に必要か？

サイバー攻撃による情報窃取を防ぐには、脆弱性を修正し、認証を強化するだけで十分なのか。国家サイバー統括室（NCO）は複数の情報窃取事案を踏まえ、企業に対策の強化を要請した。焦点はWebシステムだけではない。委託先の管理や、社内に蓄積したデータの扱いにも、見直すべきリスクが潜んでいる。

[＠IT]

　内閣官房国家サイバー統括室（NCO）は2026年10月9日、不正アクセスによる情報窃取事案が複数確認されたことを受け、事業者にサイバーセキュリティ対策の強化を求めた。対策の柱は、Webシステムの脆弱（ぜいじゃく）性管理、委託先を含むサプライチェーン対策、保有データの管理だ。

　攻撃者の侵入を完全に防ぐことは難しい。だからこそ、脆弱性への対応や認証の強化に加え、委託先を経由した侵入を想定し、万一侵害された場合にも情報流出の被害を抑える仕組みが必要になる。NCOの要請からは、企業が見直すべきセキュリティ対策の範囲が浮かび上がる。

脆弱性対策だけでは不十分　侵入を想定した監視と備え

　NCOは、インターネットに公開されたシステムが攻撃の標的になりやすいことを踏まえ、攻撃を受ける可能性を前提とした対策を求めた。

　Webシステムの管理では、OSやミドルウェア、CMS、アプリケーションなどの脆弱性を把握し、修正プログラムを速やかに適用することが重要だ。脆弱性の公表から短期間で悪用が始まる場合もあるため、社内サーバを含めて影響を評価し、優先順位を付けて対応する必要がある。

　サポートが終了した製品の利用を見直す他、使用していない機能やシステムを停止・削除することも求めた。定期的な脆弱性診断を実施し、不要なポートやサービスを無効化するなど、攻撃者に狙われる範囲を減らすことも対策の一つとなる。

　認証面では、多要素認証を導入し、推測されやすいパスワードを禁止する。管理者アカウントの利用者とアクセス権を必要最小限に抑え、退職者や異動者、長期間使われていないアカウントを速やかに無効化することも重要だ。

　一方、脆弱性対策や認証強化を徹底しても、侵入の可能性をゼロにはできない。NCOは、ログの取得・保管、不審な通信や大量アクセス、異常な認証試行の監視を求めた。侵入検知・防御システムを活用し、検知ルールやシグネチャなどを最新の状態に保つことも対策に挙げている。

　サイバー攻撃への備えは、システムの防御だけでは完結しない。事業継続計画（BCP）にサイバー攻撃への対応を組み込み、インシデント発生時の連絡体制や対応手順を整備することも必要だ。

委託先のセキュリティを確認するだけでは足りない

　サプライチェーン対策では、セキュリティ対策が十分ではない委託先などを足掛かりに、攻撃者が標的企業へのアクセスを広げるリスクに注意を促した。

　委託先のセキュリティ方針や管理体制、責任分担、個人情報や業務情報の取り扱い状況を定期的に確認する。認証の取得状況や監査結果だけでなく、再委託先の管理状況も確認し、契約を締結した後も継続的に評価することが求められる。

　委託契約では、情報の取り扱い方法やアクセス権、ログの管理、侵害・漏えいが発生した場合の報告義務などを明確にする。事故が起きた際に委託元と委託先が連携できる体制も整える必要がある。

　さらに、委託先に渡す情報や付与する権限を業務に必要な範囲に絞り、契約や業務の終了後には不要となったデータを削除する。取引先や委託先を洗い出し、情報の流れやシステムの依存関係を把握した上で、リスクを定期的に評価することも重要だ。

　委託先のセキュリティ水準を確認するだけでなく、委託先が侵害された場合に自社のどの情報やシステムに影響が及ぶのかを把握しておく。こうした管理が、サプライチェーンを経由した被害の拡大を抑えることにつながる。

保有データが多すぎないか　漏えい被害を広げない管理へ

　NCOは、保有する情報の過多や不適切なアクセス権限、保存方法の不備が、情報漏えいの被害を拡大させるリスクにも言及した。攻撃者が窃取した情報の公開を材料に脅迫したり、不正に売買したりする動きも踏まえ、データそのものの管理を徹底するよう求めている。

　事業者は、個人情報や業務情報がどこに保存され、誰が管理し、何の目的で利用しているのかを明確にする必要がある。保存期間も含めて情報を分類・棚卸しし、利用目的を終えた情報や法令上の保存期間を過ぎた情報は、必要性を確認した上で削除・廃棄する。

　アクセス権限は業務上必要な人に限定し、閲覧と更新の権限を分ける。管理者権限も必要最小限に抑え、設定を定期的に点検する。保存データと通信経路の暗号化に加え、パスワードや認証情報を平文で保存しないことも重要だ。

　外部記録媒体の利用ルールを整備し、バックアップも適切に保護する。クラウドサービスでは、サービスの仕様や責任分担を理解した上で、ストレージやデータベースの公開設定、アクセス権限に問題がないかを確認する必要がある。

　データへのアクセス記録を取得・保管し、不審なアクセスや大量のデータ取得を監視することも欠かせない。異常を検知した際に速やかに調査・対応できるよう、ログの保管期間や対応手順をあらかじめ定めておくことが求められる。

　こうした対策は、侵入を防ぐだけでなく、侵入された場合に攻撃者が取得できる情報を減らし、被害の拡大を抑える上でも意味を持つ。

　NCOは、情報流出が事業停止や顧客対応など、経営上のリスクに発展する可能性を指摘した。AIの悪用を含めて攻撃手法が高度化する中、経営層には必要な投資や人的体制の整備を含む対策強化を求めている。

　また、被害を受けた組織に対しては、被害拡大を防ぐため、攻撃に関する技術情報をNCOや所管省庁、専門機関などに速やかに共有するよう協力を呼び掛けた。

　脆弱性への対応、委託先の管理、保有データの棚卸し。個別の対策を実施するだけでなく、侵入後の被害をどこまで抑えられるかという視点で、自社の体制を点検することが重要になる。