政府システムに不正アクセス、個人情報24.6万件漏えいか 原因は「既知のVPN脆弱性」 なぜ防げなかった？（2/2 ページ）

[荒岡瑛一郎，ITmedia]

把握していた脆弱性、なぜ悪用を防げなかったのか？

　今回の不正アクセスで悪用されたVPN機器の脆弱性について、デジタル庁はその存在を事前に把握していたという。「脆弱性は、既知のもので、われわれは理解していた」（松本大臣）。インシデントを防げなかった理由について、脆弱性の修正対応をしている間に悪用されたと話した。

　デジタル庁は、脆弱性の「深刻度評価」に沿って緊急度が高い脆弱性から優先して対応していた。今回悪用された脆弱性は「中等度」だったといい「評価に応じて対応を進め、順番にパッチ（修正プログラム）を適用している。その間にハッキングされたという理解だ」（松本大臣）

ゼロトラスト導入、それでも不正アクセスを防げず

　GSSは、通信の挙動を常に検証するセキュリティモデル「ゼロトラストネットワーク」を導入している。一般に、従来のセキュリティ対策は「社内は安全、社外は危険」という考え方で社内外の境界を守る「境界型防御」が主流だった。しかしテレワークの拡大やクラウドサービスの利用によって、場所を問わず社内システムにアクセスするケースが増加。そこで「ゼロトラスト」（何も信じない）という考え方の下で、社内外全ての通信を検証し、安全なものだけアクセスを許可する仕組みがゼロトラストネットワークだ。

　ゼロトラストネットワークを導入しているにもかかわらず、不正アクセスを防げなかったのはなぜか。報道陣に問われた松本大臣は「ゼロトラストとはいえ、探しても探してもどこかに穴が空いている可能性がある。再発防止策を何度も見直す必要がある」と答えた。

　「GSSで取り扱っていた情報を取られたことは、大きな問題だ。（さまざまな対策を実施済みで）これ以上の被害が起こる可能性は非常に少ない。今回の事案の発生を踏まえて再発防止策を立て、不断に見直しながら対策を進めなければならない」（松本大臣）

視聴無料・LIVE配信：
「AI格差」を乗り越え自走する現場をつくる「変わる情シス 2026 夏」

---

• 開催日：9月14日（月）〜 9月18日（金）
• 形式：オンラインセミナー
• 参加費：無料

講演内容を詳しく見る