今回は、行政機関が業務を委託していた企業がサイバー攻撃を受けた事例について取り上げます。近年、自社のセキュリティ対策をどれだけ厳重にしていても、業務の委託先や提携先といったサプライチェーンの弱点を突かれることで、重要な個人情報や機密データが漏洩してしまうリスクが非常に高まっています。このニュースを通して、ランサムウェア攻撃という脅威の恐ろしさを知っていただきたいと思います。それとともに、外部に業務を委託する際にとるべきセキュリティの確認事項や、万が一インシデントが発生した際の初動対応の大切さについて、皆さんと一緒に深く学んでいきましょう。
東京都教育委員会は3月9日、委託業務受託者へのサイバー攻撃について発表した。
こちらの記事を、簡単に解説お願いできますでしょうか？
ある行政機関が業務を委託していた調査コンサルティング会社において、端末の一部がランサムウェアに感染し、ファイルが暗号化される被害が発生したというニュースです。この攻撃により、行政機関が預けていた住民の住所や氏名、アンケートの回答など、多数の個人情報が漏洩した懸念があります。被害を受けた調査コンサルティング会社は、原因とみられるネットワークを直ちに遮断し、外部の専門家を交えて感染経路の封じ込め作業を行いました。また、委託元への報告も実施しており、行政機関側は原因究明と技術的な対策の強化、そして再発防止に努めるよう強く指示を出しているという状況です。
質疑応答
ランサムウェアという言葉が出てきましたが、これは具体的にどのようなものですか？
ランサムウェアとは、悪意のあるプログラムの一種で、感染するとパソコンやサーバーの中にある大切なファイルを暗号化して、使えない状態にしてしまうものです。そして、データを元に戻すことと引き換えに、身代金つまりランサムを要求してきます。最近では、データを暗号化して業務を止めるだけでなく、盗み出した機密情報をインターネット上に公開すると脅す二重脅迫という手口も増えており、企業や組織にとって非常に深刻な脅威となっています。
今回のようなサイバー攻撃は、どのようにして発生を検知することが多いのでしょうか？
ランサムウェアの被害にあう場合、ある日突然パソコンの画面に脅迫のメッセージが表示されたり、ファイルが開けなくなったりすることで、初めて異常に気づくケースが非常に多く見られます。しかし、攻撃者はそのずっと前から組織のネットワーク内部に侵入し、時間をかけてじっくりと重要なデータを盗み出しています。そのため、普段とは違う不審な通信や、異常なデータの動きをいち早く検知する専用のシステムを導入しておくことがとても重要になります。
委託先の会社で被害が起きたということですが、委託元にはどのような影響があるのですか？
業務を外部に委託している場合でも、その業務に関連して預けた個人情報が漏洩してしまえば、委託元の組織自体が大きな責任を問われ、社会的な信用を失うことにつながります。今回のように、18000件にのぼる住民の個人情報や、6244件のアンケートの回答といったプライバシー性の高い情報が含まれている場合、被害を受けた方々への謝罪や事実関係の調査など、多大な時間と費用がかかってしまうという非常に大きなリスクを抱えることになります。
そうした被害を防ぐための根本的な対策としては、どのようなことが考えられますか？
自社のセキュリティ対策を強固にすることはもちろんですが、業務を委託する相手のセキュリティ体制もしっかりと確認することが根本的な対策となります。契約を結ぶ前に厳しいセキュリティ基準を満たしているかをチェックするだけでなく、定期的に監査を行ったり、インシデントが発生した際の報告のルールを明確にしておくことが大切です。自社単独ではなく、委託先も含めたサプライチェーン全体で対策を講じることが強く求められています。
このような事故が起きた際、速やかに情報を公開することが求められるのはなぜでしょうか？
被害を受けたことを隠さずにいち早く公開することで、同じような手口による他社への被害の拡大を未然に防ぐことができます。また、情報が漏洩した可能性のある方々へいち早く注意を促すことで、詐欺などの二次被害を防ぐことにもつながります。迅速で透明性のある情報公開は、関係者に対する誠実な対応を示すものであり、結果として組織の信頼をいち早く回復させるための非常に重要なステップとなります。
まとめ
自社のセキュリティ対策だけでなく、業務を委託する際には相手の体制も自分たちの問題としてしっかり確認する必要があるのですね。そして、何か問題が起きたときには、情報を隠さずに素早く公開することが、二次被害を防ぎ信頼を取り戻すために大切であることがよくわかりました。また一つ、勉強になりました！
