不正アクセスなぜ急増　原因はAIか、それとも……　専門家の見解は（2/2 ページ）

完全に防ぎ切れないことも前提に対策を

　一連の攻撃を踏まえ、同じ轍を踏みたくない企業はどのような対策を取るべきか。倉持氏は「侵害を完全には防ぎ切れないことも前提に、そもそも何の情報を、何の目的で、いつまで保持するのかを見直す必要がある」として、3つの対策が重要と説く。

　1つ目は保有データの最小化だ。運転免許証画像や番号、顔写真など、変更が難しく長期間悪用され得る情報をどの程度保有しているか、その保持が現在も必要かを確認する必要があるという。

　「本人確認など当初の目的を達成した後も漫然と保持していないか、退会者や契約終了者の情報が残り続けていないかを見直すべき。データを持たない、または早期に削除することは、侵害時の被害規模を根本から小さくする対策になる」

　2つ目は、利用しているSaaSや委託先を含めた対応の把握だ。例えば決済や会員管理用SaaSといった社内共通のプラットフォームが侵害された場合、自社システムが直接侵害されていなくても、自社の顧客に被害が及ぶ可能性がある。

　9月末からの漏えいには、利用している外部ツールや委託先への不正アクセスが原因になったものも散見される。社内のシステムだけでなく、自社が使うサービスが扱うデータ、ベンダーのセキュリティ水準、事故発生時の通知義務、ログの提供、調査協力、データ削除の条件などを契約と運用の両面から確認すべきという。

　最後は、外部公開WebサービスとAPIの継続的な点検だ。「認証・認可の不備、APIの権限設定、既知脆弱性への未対応、不要な外部公開がないかを定期的に確認しなければならない。AIによって脆弱性の解析や攻撃準備が高速化する状況では、『脆弱性があるかないか』以上に『悪用される前に発見し、優先順位を付けて修正できるか』が重要になる」

この記事の著者

関連記事

• 

  「当社の情報が漏えいしました」──世間へどう発表すべき？　タイミングは？　セキュリティ専門家に根掘り葉掘り聞いてみた

• 

  “願い”と化す「情報漏えいの事実は確認されておりません」　問われる「サイバー攻撃を受けました」発表の質

• 

  「現場任せのAI活用」が失敗するこれだけの理由　経営層がすべき“頭の中”の言語化とは

• 

  タイムズカー漏えいで集団訴訟の動き、登録3000人弱　呼び掛けた弁護士に聞いた──「謝罪で済む案件ではない」