国家サイバー統括室、AIを使った攻撃の可能性も踏まえ、サイトやアプリで個人情報を扱う事業者に不正アクセス対策の徹底を要請

内閣官房国家サイバー統括室は11月5日、不正アクセスへの対策をまとめた文書を公表し、モバイルアプリやウェブサイトで事業を運営して個人情報を扱う事業者などに、基本的な対策を改めて徹底するよう求めた。

政府は、このところ続いている不正アクセスの事案のうち、情報が漏れた組織やその委託先で基本的な対策が足りなかったことが原因とみられる例を複数確認した。確認した例には、モバイルアプリを開発する段階での安全対策の不足、ウェブサイトなどの設定の誤り、サポートの切れたソフトや既知の脆弱性に対策していないソフトを使い続けていたことなどがある。

文書によると、攻撃者は国内のウェブサイトなどを大規模に調べ、侵入の方法が見つかったサイトに入り込んで個人情報を盗んだとみられ、調査や侵入にAIを使っている可能性も高い。AIが悪用されたことで、従来の脆弱性診断では危険度が比較的低いとされていた複数のリスクが組み合わされ、侵入の原因になった可能性のある事例もある。攻撃者が大規模な攻撃をしやすくなったことで、事業の規模にかかわらず幅広い事業者が攻撃の対象になっていると、同室はみている。

文書の対策は、運用・管理、設計・開発、サプライチェーンの3分野、計8項目からなる。同室は、ITやセキュリティの担当者向けに具体的な対策例も載せた。

運用・管理の分野には、AIなども使って脆弱性の診断を続け、システムの不審な挙動を監視する項目がある。同室は、攻撃側でAIによる脆弱性の探索や攻撃の手順の自動化が進んでいるとして、守る側でも診断や監視にAIを使うことを積極的に検討するのが大切だとした。

担当者向けの対策例には、セキュリティ診断にAIを使うツールの導入を積極的に検討し、攻撃経路の探索やテストケースの生成などに役立てて診断を効率化する方法がある。ログの監視で、大量のログやアラートをAIで横断して分析し、異常な挙動や攻撃の兆候を見つける使い方も対策例にある。

同室は対策例に、AIが出した評価結果の根拠と妥当性を確かめ、最終的な対応の判断は担当者が確認することも盛り込んだ。AIによる分析や自動での対処も、誤検知や誤判断、業務への影響を考え、適切な検証と担当者の監督のもとで行うとしている。

設計・開発の分野には、システムを設計の段階から安全に作る考え方「セキュリティ・バイ・デザイン」の適用、アプリが使うAPIのセキュリティ強化、公開前の脆弱性診断の3項目がある。サプライチェーンの分野には2項目があり、一つは委託先の管理と委託先からの接続経路の保護、もう一つはオープンソースなど外部のソフトウェア部品の管理だ。

同室は、今回の対策を最近の一連の攻撃手口に絞ったものとし、事業者はVPN装置などネットワーク機器の脆弱性を突く攻撃や標的型メール攻撃などほかの手口に加え、AIを悪用した攻撃がより高度で巧妙になる可能性にも備える必要があるとした。

同室は、経営トップの判断のもとで自社のシステムや持っている情報に応じてリスクを評価し、必要な対策を強めるよう事業者に求めた。

【関連サイト】国家サイバー統括室「個人情報の漏えい等につながる不正アクセスへの対策について～ウェブサイトやモバイルアプリに関する基本的な対策の徹底～」

画像：Editorial credit: soraneko / Shutterstock.com