政府システムに不正アクセス、個人情報24.6万件漏えいか 原因は「既知のVPN脆弱性」 なぜ防げなかった？（2/2 ページ）
デジタル庁が運営する政府システムが不正アクセスを受け、個人情報約24.6万件が漏えいした可能性があると発表した。事前に把握していたVPN機器の脆弱性から侵入されたという。なぜ防げなかったのか。
把握していた脆弱性、なぜ悪用を防げなかったのか？
今回の不正アクセスで悪用されたVPN機器の脆弱性について、デジタル庁はその存在を事前に把握していたという。「脆弱性は、既知のもので、われわれは理解していた」（松本大臣）。インシデントを防げなかった理由について、脆弱性の修正対応をしている間に悪用されたと話した。
デジタル庁は、脆弱性の「深刻度評価」に沿って緊急度が高い脆弱性から優先して対応していた。今回悪用された脆弱性は「中等度」だったといい「評価に応じて対応を進め、順番にパッチ（修正プログラム）を適用している。その間にハッキングされたという理解だ」（松本大臣）
ゼロトラスト導入、それでも不正アクセスを防げず
GSSは、通信の挙動を常に検証するセキュリティモデル「ゼロトラストネットワーク」を導入している。一般に、従来のセキュリティ対策は「社内は安全、社外は危険」という考え方で社内外の境界を守る「境界型防御」が主流だった。しかしテレワークの拡大やクラウドサービスの利用によって、場所を問わず社内システムにアクセスするケースが増加。そこで「ゼロトラスト」（何も信じない）という考え方の下で、社内外全ての通信を検証し、安全なものだけアクセスを許可する仕組みがゼロトラストネットワークだ。
ゼロトラストネットワークを導入しているにもかかわらず、不正アクセスを防げなかったのはなぜか。報道陣に問われた松本大臣は「ゼロトラストとはいえ、探しても探してもどこかに穴が空いている可能性がある。再発防止策を何度も見直す必要がある」と答えた。
「GSSで取り扱っていた情報を取られたことは、大きな問題だ。（さまざまな対策を実施済みで）これ以上の被害が起こる可能性は非常に少ない。今回の事案の発生を踏まえて再発防止策を立て、不断に見直しながら対策を進めなければならない」（松本大臣）
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
“ウイルス感染USB”、陸自に続き三重県庁でも47本 「禁止」では解決しない、自治体ネットワーク分離の盲点
三重県が庁内で使用するUSBメモリを全数調査した結果、47本からウイルスが検知された。この出来事は、自治体の情報セキュリティ対策の何を問いかけているのか。ネットワーク分離の基本原則から読み解く。
“純国産の政府AI”稼働へ NTTらのモデル採用 「先陣を切る」――松本デジ相が語った意欲
デジタル庁の政府AI「源内」で、国産AIモデルと国産クラウドを活用した“純国産の政府AI”が稼働する。松本大臣は「先陣を切る取り組みになる」と述べた。
政府クラウド、AWSが8割超を独占 デジタル庁が答えた「特定企業推奨」の可能性
「政府クラウド」利用の約80％を占める「AWS」。デジタル庁は「AWSに一日の長がある」と分析する。1社に偏っている状況を前に「特定の企業の利用推奨」の可能性はあるのか。
「AI駆動型国家」の落とし穴 「自治体システム標準化」の“失敗”を繰り返さないための教訓とは
自治体システム標準化の次に、政府が描くのは「AI駆動型」の行政だ。AIエージェントによって行政はどう変わるのか。標準化の経験から、その可能性と懸念を考える。
「IT化か、水道を止めるか」 “ブラック部署”と呼ばれた曽於市水道課が挑んだ、金なし・人なしの現場DX
技術職員はわずか3人。人手不足が深刻化する中、鹿児島県曽於市の水道課は、現場主導のDXで時間外対応を約75％削減した。予算も人材も限られた自治体が実現した改革とは。