ゴールデンウィークを襲ったIE問題、金融機関での対応秘話：萩原栄幸の情報セキュリティ相談室（3/3 ページ）

[萩原栄幸，ITmedia]

緊急対応から学ぶこと

　さて、この金融機関での対応はメガバンクの感覚からすると「それだけで大丈夫？」というほどだったものの、「Microsoftも総力でパッチを作成して早期にリリースするから、問題が長期化することはないだろう」という思惑もあった。

　実際、筆者のもとには他の金融機関や企業からも問い合わせのメールが寄せられたが、いずれも返信では以下のように伝えた（4月30日の11時25分頃に送信している）。

本件回答いたします。

――中略――

マイクロソフトは全力でパッチを作成中です。遅くとも来週頭には何らかの動きがあると思います。

（原文ママ）

　メールに記載した「来週頭」とは5月5日である。筆者は遅くてもこの日までに必ずパッチが提供されるだろうと予想していた。実際には読者もご存知のように、5月1日にパッチが提供された。最悪のケースを想定し準備していた某金融機関でも緊急体制を解除し、プログラムも全て元に戻して「戻しの稼働確認テスト」を行い、通常体制に移行することになった。

　今回の事態からどんな企業においても重要な点を学ぶことができる。

• 異常事態を事前に想定する
• その対応方法について十分にシュミレーションし、実機を使った模擬訓練を行う

　今回は4月28日から5月1日までの実質4日間だけの緊急事態だった。訓練に近いともいえ、筆者の顧客企業では「実際の緊急事態の対応を確認する上でとても良い経験になった」と前向きに捉えた意見も多い。大規模トラブルにおける状況を的確に捉えて“毎日のビジネス”を確実に運営する重要さを感じる4日間だったと思う。

　筆者が対応したこの金融機関だけでも、今後早急に再検討を要するセキュリティ課題が20以上も見つかったのだ。

萩原栄幸

日本セキュリティ・マネジメント学会常任理事、「先端技術・情報犯罪とセキュリティ研究会」主査。社団法人コンピュータソフトウェア著作権協会技術顧問、CFE 公認不正検査士。旧通産省の情報処理技術者試験の最難関である「特種」に最年少（当時）で合格。2008年6月まで三菱東京UFJ銀行に勤務、実験室「テクノ巣」の責任者を務める。

組織内部犯罪やネット犯罪、コンプライアンス、情報セキュリティ、クラウド、スマホ、BYODなどをテーマに講演、執筆、コンサルティングと幅広く活躍中。「個人情報はこうして盗まれる」（KK ベストセラーズ）や「デジタル・フォレンジック辞典」（日科技連出版）など著書多数。