Togetter/min.tを安心してお使い頂くためのガイドラインを公開しました。
2015年6月2日

年金機構の情報流出はなぜサイバー攻撃なのか…

年金機構の情報流出の件、どうにもメールを開いた担当者を責める方が多いので そういう問題では無いという私と私より分かりやすいcocoonPさんのつぶやきをまとめました。 (補足)ファイル管理の件に関しては別のまとめにまとめましたのでそちらを見ていただけると幸いです。
62
リンク ITpro 日本年金機構にサイバー攻撃、ファイル共有サーバーから125万件の年金情報が流出 日本年金機構は2015年6月1日、サイバー攻撃により約125万件の年金情報が流出したと公表した。特定の企業や団体から機密情報を盗み出す標的型サイバー攻撃に遭ったと見られる。通常は基幹システムで管理する個人情報をファイル共有サーバーに移したところ、ウイルスに感染したパソコン経由で流出したという。

ファイル管理の件に関しての私のつぶやきのまとめ

まとめ 年金機構の情報流出とファイル管理の話 年金機構の件ですが、批判が標的型攻撃からファイル管理の問題に移っているようです。 ファイル管理に関して、少し自分の考えをつぶやいてみました。 1826 pv 9 1

本文はここから

ざ_な_く&890P@VOCALOID&VTuber @z_n_c_890_P

年金機構の件、メールを開いた担当者が責められていますが、余り責めないであげてほしい。あのメールはおそらく高度標的型メールと推測され、事前調査を徹底的に行った上で出されたと思われる、実はかなり廃レベルな攻撃で、通常の注意力ではどうにもなりません。(続く)

2015-06-01 20:06:23
ざ_な_く&890P@VOCALOID&VTuber @z_n_c_890_P

(続き)私の推測では、年金機構にはメールサーバと端末の両方にアンチウイルスソフトと最新パターンファイルが入っていたと思われますが、おそらく引っかかっていないでしょう。最近の侵入用ソフトウェアはそういうものです。少し古くなると引っかかりますが(続く)

2015-06-01 20:10:06
ざ_な_く&890P@VOCALOID&VTuber @z_n_c_890_P

(続き)ファイル共有サーバに個人情報を置いていたのは担当者のミスと言えますが、置いてなくても侵入発覚が遅れればDBから直接引き出された可能性があります。最近の侵入ソフトウェアは本当にやばいので…詳細は言えないです。本当にすいません。(続く)

2015-06-01 20:12:54
ざ_な_く&890P@VOCALOID&VTuber @z_n_c_890_P

(続き)最近のこの手の攻撃は、侵入を完全に防ぐことはほぼ不可能な状況になりつつあります。そのため、現在のトレンドは如何にして速やかに侵入を検知し、活動を阻止するかに軸足が移っています。マイナンバー開始前ですし、これは前哨戦に過ぎないかもしれませんね…

2015-06-01 20:15:54

(補足)ちなみに、従来型のセキュリティ対策は今までどおり必要です。
年金機構についても、今回の攻撃の数倍から数十倍…ともすれば数百倍の従来型の攻撃を防いできていると思いますので…


標的型攻撃についての解説

リンク Wikipedia 標的型攻撃 標的型攻撃(英 Targeted threat もしくは Targeted attack)は、特定の組織内の情報を狙って行われるサイバー攻撃の一種であり、その組織の構成員宛てにコンピュータウイルスが添付された電子メールを送ることなどによって開始される 。 以降も持続的に潜伏して行われる標的型攻撃はAPT攻撃(Advanced Persistent Threat)と呼ばれている。 標的型攻撃の対象とされる組織は、政府/公共サービス機関、製造業が多く、価値の高い知的財産を保有している組織が対象になっている
リンク www.atmarkit.co.jp シグネチャで守れない〜標的型攻撃対策の新常識〜 - @IT 日本の公的機関や企業をターゲットにした標的型攻撃が明るみになってから、数年が経ちました。長期にわたって潜伏する執拗さ、標的をだますメールの念入りさやゼロデイ脆弱性を狙う高度な技術力など、これまでのサイバー攻撃とは一線を画した標的型攻撃から自社/自組織を守るには、これまでのセキュリティの「常識」から一歩踏み出す必要があることが明らかになりつつあります。この特集では、最新の標的型攻撃の手口を解説するとともに、どのような戦略の下で対策に取り組むべきか、その指針を紹介していきます。

標的型攻撃についてのIPAからの解説

IPA テクニカルウォッチ「標的型攻撃メールの例と見分け方」
https://www.ipa.go.jp/files/000043331.pdf

「高度標的型攻撃」対策に向けたシステム設計ガイド
http://www.ipa.go.jp/files/000042039.pdf

今回の事件についての情報自体はこちらのまとめが詳しいですね。

まとめ 不正アクセスで年金情報125万件が流出か ■日本年金機構の情報漏えいについてまとめてみた - piyolog http://d.hatena.ne.jp/Kango/20150601/1433166675 ●不正アクセスで年金情報125万件が流出か6月1日 17時32分 NHKニュース  日本年金機構は、年金情報を管理しているシステムに外部から不正アクセスがあり、年金加入者の氏名や基礎年金番号など、少なくともおよそ125万件の個人情報が流出したとみられることを明らかにしました。 日本年金機構の水島理事長は記者会見し、「個人情報が流出したことを深くおわび申し上げる」と陳謝したうえで、年金の支給手続きなどの際の本人確認を徹底するなど、なりすまし対策に万全の対策を取る考えを示しました。 日本年金機構によりますと、先月8日から18日にかけて、複数の職員.. 17620 pv 216 6 users 24

cocoonPさんの分かりやすい解説

cocoon @cocoonP

うちの会社組織としては知りませんが僕個人は「人類を滅ぼすしかない」と常々言っております

2015-06-02 10:33:05
cocoon @cocoonP

『チェック体制を複雑にすればヒューマンエラーは防げる!!!』と言ってるやつには、「ルールが複雑化して一発でどんなルールになってるかわからないファイアウォール」と、「シンプルなルールのファイアウォール」の両方の管理をさせたあと意見が同じかどうか聞いてみたい。

2015-06-02 10:38:43
cocoon @cocoonP

今回の年金機構の件で「怪しい添付ファイル開くとかwww」みたいに言ってる人がいる以上、標的型攻撃は有効であり続けると思う。そういう人ほど絶対引っかかるから。(標的型メール攻撃がどんなものか知らないのにあなってるわけだからね)

2015-06-02 10:43:05
cocoon @cocoonP

「普段やり取りしてる相手から来たメールで」「いつもと同じ感じの全く不自然ではない文章で」「一つ前のメールと内容に連続性があって」「別にexeなどの実行ファイルでもなく」「アンチウィルスソフトも反応しない」「必要な内容が含まれていると思われる」添付ファイルを開かないで仕事できる?

2015-06-02 10:46:37
cocoon @cocoonP

標的型メール攻撃は、狙われたらほぼ100%どんな人でも(たぶんセキュリティの専門家かつゴルゴ並の慎重さでも)引っかかるものなんだよ。こういうメール→ twitter.com/cocoonP/status… が来るんだから。エロSPAMと同じ程度だと思ってる人は確実に引っかかると断言する。

2015-06-02 10:51:28
cocoon @cocoonP

「添付ファイルはどんな場合でも絶対に開かずテキストファイルしか読みませんし自動的に削除します」って人と仕事するのすごくつらいでしょ? そしてそういうソフトが入ってる会社との付き合いあったりしない? 少なくとも添付ファイル経由での攻撃を0にするにはそれを徹底するしか方法はない。

2015-06-02 10:53:45
cocoon @cocoonP

添付ファイルを全く受け取らないようにしても、それは単に「添付経由での」攻撃が成功しなくなるだけなので本質的解決じゃないんだよね。「相手を本人だと思っているしそうじゃないと判断する情報が全くない」からなんだから。

2015-06-02 10:57:35
cocoon @cocoonP

多分だけど、「添付ファイル開くとか情弱wwwww」みたいに言ってる人は、役所の窓口で本人証明書類で保険証じゃだめで写真つき身分証明書を持ってこいと言われてキレるタイプの頭の悪い人だと思うんだよね。

2015-06-02 11:46:36
cocoon @cocoonP

「平日昼間にエロ画像をTLに流す」のと「夜中にうまそうな食材の写真をTLに流す」のはどちらが罪深いだろうか

2015-06-02 15:45:01
残りを読む(7)

コメント

Hoehoe @baisetusai 2015年6月2日
パスワード設定もしてないのにプロもクソもあるかボケ
10
どこにもいない人 @nowhereman17 2015年6月3日
記事にある「不正アクセス先はLANにつながるファイル共有サーバー」という部分がまず理解しがたいのだけど、誰が何の目的でそんなとこに置いちゃったのかがポイントではないかと。しかもパスワード保護が義務付けられているのにそれをしていなかったりとか。これって標的型がどうとかいう話なんですかね。いやズブの素人なんでぜんぜん分かりませんけど。
6
脳内がエロで埋まっている白痴のネトウヨ @dokuman3 2015年6月3日
「標的型攻撃を防ぐことは難しい」←多分事実 「それはそれとして、日本年金機構のやり方にも問題が有った」←自分にはそう思える
23
空缶 @AkikanPHP 2015年6月3日
データ管理が杜撰だったなんて周知の事実の再確認をコメント欄でやる意味は何さ。
13
Sn @rbmio0079 2015年6月3日
組織の体質やセキュリティ教育に問題があったとは思うが、添付ファイルの確認なんて基本中の基本を怠っていたという点においては、担当者の過失は明白。
0
こっぱみじん😈 @paoohn 2015年6月3日
ここでの主題は標的型攻撃メールを開くことが回避可能か?であり、ファイル共有の杜撰な運用とは別だと思うんだが…これじゃ意識は高まらないな
25
うすらカバ2号機 @usurakaba2 2015年6月3日
>通常は基幹システムで管理する個人情報をファイル共有サーバーに移したところ どうみてもアウトやろが……NTTの勧誘電話かけてくるコルセンのほうがまだマシな管理をしている。ド素人と同じよ
1
cocoon @cocoonP 2015年6月3日
paoohn そうですね。なおここにはまとめられていませんが同趣旨のことは僕も当時言っていました(https://twitter.com/cocoonP/status/605617404748562432 とか )。 要するにここのコメント欄の Sn @rbmio0079 さんみたいな認識は違うよって話ですね。
8
3mのちくわ(20禁) @tikuwa_zero 2015年6月3日
最初、あーそうなのかーと思ったものの、この担当者、本来は鯖にあるハズのデータを「いちいちアクセスするのがめんどくせえ」という理由でローカル保存していたと聞いたら、さすがに擁護不可だわ。 RT あのメールはおそらく高度標的型メールと推測され、事前調査を徹底的に行った上で出されたと思われる、実はかなり廃レベルな攻撃で、通常の注意力ではどうにもなりません。
3
うすらカバ2号機 @usurakaba2 2015年6月3日
だって御プロ様のご意見じゃ、標的型攻撃メールを開くことはほぼ回避不可能なんでしょ。俺もそう思うよ、あんな表題だったら開くもん。だからその話しても誰も「あっそ」としか思わないよ。意識高めようがないでしょ。高くても引っ掛かるんだから。
3
3mのちくわ(20禁) @tikuwa_zero 2015年6月3日
はい、擁護終了。帰った帰った。/ウイルス攻撃はフリーメールで 年金情報流出、中国語書体の形跡 - 47NEWS(よんななニュース) : http://www.47news.jp/CN/201506/CN2015060301001138.html
6
こっぱみじん😈 @paoohn 2015年6月3日
事故ってのはセキュリティに限らず、普通は複数の要因が重なり合って起きるもので、どうすれば防げたか・被害を最小化できたかを考える上では、それぞれの要因を個別に検証する必要があると思うんだけど、「メール開くのが馬鹿」って意見が蔓延しちゃってるからこそのこのまとめられてるツイートでしょ。
24
ゴイスー @goisup 2015年6月3日
最初にデータ抜かれたの気づいて調べに入ったのに、なんでシャットアウトしなかったのかそこが良く分からんです。別の職員が同じヤツに引っかかったでしょ?
4
KZRNM @naminodarie 2015年6月3日
ベイマックスが帰ってほしいよね
17
Bukko@マジミラ9.2夜9.3昼 @Bukkosan 2015年6月3日
「送信元がフリーメールだったから擁護派終了!帰った帰った!」と鼻膨らませてる奴に「お前みたいなのが次の巧妙な手口に引っかかる」と言ってるんでしょ、このまとめは。
24
Sea_Doberman @Sea_Doberman 2015年6月3日
「パスワード、パスワード」って、何のことを言ってるのかと思ったら、「暗号化」のことでしょ。流出に備えて、「データを暗号化」していないということは、「サーバー(HDD)全体を暗号化していなかった」。重要情報を扱うハードディスクを暗号化するのが世界の常識では?
9
3mのちくわ(20禁) @tikuwa_zero 2015年6月3日
「高度標的型メール」=「関係者を装って情報リークを誘うメール(添付ファイル)」を開くのが馬鹿って話ではなく、あくまでも「フリーメールとして届いたメールを安易に開いた」点は批判を避けられないっつー話をしたつもりだったんだが、どうやら情報の修正が出来ないおたんちんが一定数いるらしい。まあいいけど。
3
こっぱみじん😈 @paoohn 2015年6月3日
tikuwa_zero フリーメールからのメールを開く必要がある業務だったのかわからないので、そこら辺はなんとも断言し難いですね。メール文面を見る限りでは必要なかった気がプンプンしますが。あと、攻撃のどの段階で用いられたのかも不明なので、終了とするのは些か早計かと。
3
こっぱみじん😈 @paoohn 2015年6月3日
そもそも話題が無関係すぎてコメントしよつか迷ったけど…HDD全体の暗号化って、HDDへの論理的なアクセスが可能な人には意味ないよね…その時点ではハードウェアなりOSなりが復号してんだから
6
もとしん @_motoshin 2015年6月3日
tikuwa_zero あのー、誰が誰を擁護してるんですかね? そういうまとめはではないと思うんですけど……
10
ozero dien @ozero 2015年6月3日
職員にメアド発行した時点で負け、という気はする。
5
fukken @fukken 2015年6月3日
基本的には差出人(From)は郵便の送り主欄と同じ、つまり自己申告でありいくらでも偽装可能なものだ。差出人がどこであるかをチェックする事は有効な対策とはならない(ヘンな宛先ならクロである可能性が高いが、差出人が信頼できる人間を名乗っていてもシロとは限らない)。人間がチェックするなら絶対にうっかりミスがあり得るし。
9
fukken @fukken 2015年6月3日
fukken From偽装を受理しないメールサーバーもあるが、それは本まとめで触れられてる「テキスト以外の添付ファイルを受け取らないメールサーバー」のようなもの。そこまでではないが、それなりに相互運用性に問題が出る。
2
ワカゾー @WakazoMarine 2015年6月3日
TOMOYO Linuxではこういうの解決出来ないものなんですかね?登録されていない不正な操作は全て弾きますし。
0
腐ってもエビ🌈🕑もえこ…… @kusattemoevill 2015年6月3日
プロ相手にロクに話も伺わず、2chでの論破感覚で話すと手痛い目にあうなあと思う世知辛いコメント欄。自戒の念を込めて
3
初瀬 神楽 @Kagura_d34272 2015年6月3日
「俺はフリーメールに添付された怪しげなLZHでもかまわないで開いちまう人間なんだぜ」ってスカポンタンでも、「業務のメールに巧妙に似せてFromフィールド等も上手に偽造したものを開いちゃった」って教育された人でも困難回避なトラップ食らっても同じ結果になった以上、今回の「フリーメールからのメールを騙されて開いた」という行為そのものは大馬鹿ではあるけど本質的な原因やないよね、って話よね。
9
初瀬 神楽 @Kagura_d34272 2015年6月3日
あとメール差し出し元ドメインを偽装してなかったのは、偽装する技術がないちゃっちい犯人だったというよりは、中途半端に偽装してスパムフィルタ等で弾かれたら意味ないし、どうせ添付ファイルをホイホイ開いてしまような相手ならメールアドレスの確認もきちんとやらんだろう、ってな感じの地味に合理的な判断だったのかなあ、なんて思うたりはするけどねん。
9
初瀬 神楽 @Kagura_d34272 2015年6月3日
まあ散々既出だけど「馬鹿に馬鹿をやらせないよう教育する」というのは(あるいは「馬鹿をやらない優秀な人材のみを揃える)というのも)非常にコストがかかることなんで、それよりは「馬鹿が馬鹿をやっても最小限のダメージにしかならんようにする」のがセキュリティよねえ。まあIT担当がきちんとした設計やろうとしても、現場が利便性を盾に反対したり、予算がきちんと取れなくてスカポンタンなものができるっちゅーのはよくあるから、担当者だけを責めるべきかは判らんけど!
19
初瀬 神楽 @Kagura_d34272 2015年6月3日
ちゅーか、書いた内容を読み直して思うたけど、担当者が個人情報のローカルコピーできて、インターネットから取得したファイルを実行できて、それが外部にデータを送信してもFWがスルーするんやったら、そもそも担当者のミスである必要すらないん。担当者が「悪意を持ってデータを持ち出そうとしたら」もっと大惨事になっとったわけよね。いやまあ、既に別の悪意ある担当者に持ち出されとってもおかしくないんやけど。 ……ベネッセとは何だったのかねぇ?
12
ワカゾー @WakazoMarine 2015年6月3日
まぁ「標的型攻撃メールは開かれるものとする」という意識で対策するのが一番良いですよ。なのでボクは登録された操作以外を管理者であっても拒否する学習型セキュリティのTOMOYO Linuxじゃダメなのかな?と提案したのです。そもそもデータサーバから手元の端末へコピーさせなければ良いと。ユーザーの勝手な判断でおかしな操作をさせないことが出来るのがTOMOYO Linux。
1
初瀬 神楽 @Kagura_d34272 2015年6月3日
WakazoMarine TOMOYOが有用なのはアプリケーションサーバ等に脆弱性がある場合とか、システム管理者(末端ユーザーではなく)に悪意がある場合とかなので、今回の件とはちょいとスコープ違うねぇ。勝手にコピーさせないというだけならTOMOYOどころか標準のLinuxでも、或いはWindows Serverでもできるねん。
3
trycatch777 @trycatch777 2015年6月3日
今回の件は、セキュリティー対策というのが次のステージに行かざるを得ないという明確な話なのだが、年金機構の職員なのか管理職なのかが「酷い運用」をしていたお陰で「担当者がバカだった」という話だけになってしまいがちのが非常に残念なとこですね。いつまで経っても「メールを使わない業務」をまじめに考えてないんでしょうし(まじめに考えて実践してる組織もあるよ)、フィルタリングだってとりあえず導入してるだけだろうし、教育も「とりあえず言われたからやった」んだろうってのは想像ついちまいますからねぇ。
7
ワカゾー @WakazoMarine 2015年6月3日
Kagura_d34272 ふむふむ。権限の付与ですな。その辺の知識はLinux触ってて何となく知ってます。ただ権限の付与はブラックリスト方式なので、むしろやっても良い操作だけを学習させることの出来るTOMOYO Linuxじゃダメなのか?と素人考えで感じた次第です。
0
初瀬 神楽 @Kagura_d34272 2015年6月3日
WakazoMarine クライアント端末側で見ると、TOMOYO以前にLinuxを導入すること自体がたぶん厳しい(業務でWord、Excelを使用することはありそうでOpenOffice等では互換性に限界があるし、そもそもLinux等は教えられる人が少ない分教育コストが高い)んで、要件レベルで無理かなーと。んでサーバー側から「直でファイルコピーできた」のがアクセス制御ミスでなく業務で必要なための仕様だとしたら、そんなガバガバアクセス制御な設計ではTOMOYOも何も関係ないんよね。
3
3mのちくわ(20禁) @tikuwa_zero 2015年6月3日
この場合、公職が公務でフリーメールを利用している時点でアウト案件かと。オレなら仮にフリーメールから関係者を装ったメールがきたら、メール相手に電話で確認します。例え二度手間でも。 RT paoohn:フリーメールからのメールを開く必要がある業務だったのかわからないので、そこら辺はなんとも断言し難いですね。メール文面を見る限りでは必要なかった気がプンプンしますが。あと、攻撃のどの段階で用いられたのかも不明なので、終了とするのは些か早計かと。
2
3mのちくわ(20禁) @tikuwa_zero 2015年6月3日
「余り責めないであげてほしい」って最初のツイートにありますけど、これが擁護ではないっつーなら、そりゃあなたとオレの認識の違いなんで勘弁。 RT _motoshin:あのー、誰が誰を擁護してるんですかね? そういうまとめはではないと思うんですけど……
1
もこ @mocomb 2015年6月3日
個人的にはメールアドレスの確認とか添付ファイルのファイル名確認とか、あるいはデータのパスワード管理とか運用とかそういうの含めての対策だと思うんだけど。フリーメールアドレスだったっていうし。IT担当相の山口って人がこの件で「人災だから、マイナンバー制度とは関係ない」とか語ってるけど呆れるを通り越してお先真っ暗だよこんなの。
4
もこ @mocomb 2015年6月3日
ヒューマンエラーは必ず起こるんだから、それを未然に防ぐシステムにしなきゃいけない。マイナンバー制度の方は関係ないといってるのはこっちのシステムは大丈夫だと言いたいんだろうけど、どこかで杜撰な管理している団体があると結局紐づけされてるから簡単に流出してしまうってことになると思うんだけど。
1
こっぱみじん😈 @paoohn 2015年6月3日
tikuwa_zero 送り手がフリーメールで送ってくる事がありうる業務なのか?を疑問視しているんですけど。窓口業務であればフリーメールからの問い合わせを一切無視するとか無理な話ですが?担当業務もわからずに排除とか無茶すぎませんか?
11
春巻れいじ@月曜日 西さ-20b @KazunePP 2015年6月3日
「オレなら」はこの手の話では通用しない。考え得る最悪の想定の斜め上をやるのが不慣れな人で、その対策を突き詰めると大体その手の人は「わからんから紙でやれ。その方が安心だ」って話になって、今度は別の部分でセキュリティ上の問題だったり、あるいはかつて起きた年金がらみの問題みたいなことが起きる。
6
春巻れいじ@月曜日 西さ-20b @KazunePP 2015年6月3日
私の稚拙な見方だと、今回の場合の一番の問題はセキュリティ上起こり得る問題について、考え得る最悪かその斜め上のミスでその問題点を突かれたことだと思うわけです。本来ふさぐべきセキュリティの穴が個人の問題に帰せられたり、あるいは別レイヤーであるはずの政治マターにされたり。
4
ざ_な_く&890P@VOCALOID&VTuber @z_n_c_890_P 2015年6月3日
ファイル管理の件に関して、私のつぶやきを別のまとめにまとめ、リンクしました。
1
初瀬 神楽 @Kagura_d34272 2015年6月3日
そもそも一般事務員にフリーメールかそうでないかを的確に判別できるようなリテラシーの教育ができる方法があったら、世の中のシステムエンジニアの苦労はかなり軽減されると思うけどね?それができることは良いことだけど、できない人を責めて解決するもんやないよね。まさか事務員採用の条件に「どこからか送られてきたメールのドメインを見てフリーメールかどうか判断できること」なんて細かい条件まで付け加えるわけにいかんのやし。
7
脳内がエロで埋まっている白痴のネトウヨ @dokuman3 2015年6月3日
仮に、個人が知識を持てば今回の添付メールを開かなかったとしよう。その場合、ダメなのは必要な知識がない人間に権限を与えてる組織だよね?
0
mnianzinno @mnianzinno 2015年6月3日
むしろよく今まで何も起きなかったな年金機構。それとも、表沙汰にしなかっただけなのかな?
3
cinefuk 🌀 @cinefuk 2015年6月3日
「基幹システムに格納された個人情報をわざわざCSVに書き出して、暗号化されない共有サーバに日常的に置いていた」というユルさ、ちょっと考えられないですね。
3
もこ @mocomb 2015年6月3日
仮にメール開いてもCSVが暗号化されていれば救いがあったかもしれない。こういう組織ならセキュリティ講習会とか勉強会とかやってるだろうに。これ名簿を居酒屋に置き忘れたとか、生徒の個人情報が入ったUSBメモリを入れたかばんが盗まれたとか、そのレベルのセキュリティ意識からくるミスだと思うんだけど。
0
もこ @mocomb 2015年6月3日
せめて個人の裁量で個人情報を好き勝手持ち出せるような仕組みはやめるべきだと思うけど。マイナンバー制度は口座情報も紐付けするっていう話があるくらいだからこれよりもっと厳しい管理を徹底してくれないとマジで困るんだけど。
0
TANABE Toshiharu @itinoe 2015年6月3日
暗号化してあってもDESやRSAの1024bit相当なら力技でどうにかなっちゃう。 情報保護を考えるなら、権限管理だけじゃなくて通常外の振る舞いをリアルタイムで検知などやる事はいっぱいある。さて、その情報をそこまでコストをかける物かというリスク評価が必要なんだが、世間はそこまで細かい事を評価してくれないんだよなぁ
3
つよし(清野剛) @tseino 2015年6月4日
年金の個人情報なんて「そこまでコストをかける物」だと思うけどね。運用が酷すぎるんで叩かれるのは仕方ないけど、個人を叩いてどうなるもんでもない。”「攻撃を受けることはある」という前提で受けても重要な情報は漏れないように運用する必要がある”ってことを言ってるんでしょ
6
つよし(清野剛) @tseino 2015年6月4日
馬鹿が馬鹿をやらかしたって事案なのは否定しないけど、それなりに人数が居れば一定数の馬鹿は必ず居るもの。
2
もこ @mocomb 2015年6月4日
自分の個人情報の価値にそこまで卑屈にならなくても。
2
kartis56 @kartis56 2015年6月4日
Received: from jb.com ((略)] (may be forged)) by (略) Message-ID: <5685B9D668B238439EB6C581F4E88416@jb.com> From: (略) <autoinfo_jp@account.square-enix.com> こういうのとか来るから、最低でもメールヘッダをちゃんと見るのは必要かな。
0
ぉざせぃ @hijirhy 2015年6月5日
こういう事件があるとウィルス感染を如何に防ぐかという方向で議論が進みがちだけど、今以上のウィルス対策は費用対効果が上がらないから、感染は防げないという前提でセキュリティ対策を進めるべきって話よね。
1
ぉざせぃ @hijirhy 2015年6月5日
「ウィルス感染を無くせ」ってのは安全神話みたいなものよね。
1
ぱりうめBBA@白猫保険作って下さい @ppu_pigg 2015年6月5日
通個人情報を扱う重要なPCは、部屋に入る時も厳重にしてあるし、入る時も携帯やスマホデータを持ち出せねようなものは持ち込めないようになってるはず。もし持ち込んだりしたら始末書だろうね。そして個人情報を扱うPCはネットには接続していないのがあたりまえ、もしネットを使用する場合は、それ専用のPCが配置されてあるもんだ。んで、今回の年金機構さんのケースはその重要な個人情報を扱うPCで何故かネットをやっちゃったらしいのよね。普通はありえないそんな事、これは完璧な人為的ミス!
2
ぱりうめBBA@白猫保険作って下さい @ppu_pigg 2015年6月5日
例えるなら痴漢率の高い路線の電車に素っ裸のまま女性が乗るような状況。痴漢や事件がいつ起きてもおかしくないのが今回の年金機構さんの発端ね。うちの旦那が「同業者としてありえない」と驚いてましたよ。
3
ごきげんななめ @nanameue3746 2015年6月6日
・圧縮添付ファイルを ・パスワード設定せずに送り ・そのまま開く ・そういう運用が常態化している バカじゃないの? セキュリティ高い会社なら ・圧縮添付ファイル(パスつき)を ・メールで送って ・電話(などの別経路)でパスワード連絡して ・開く ・運用上、ファイル添付は基本的に不可(悪意のない事が確認取れたものだけ許可) という対応がされてます
4
Sea_Doberman @Sea_Doberman 2015年6月6日
テレビ、新聞報道が大本営発表だから、「フリーメールの添付ファイルを開く職員が悪い」という低レベルな話で終わってる。なぜ、メジャーなフリーメールが何の注意喚起もなく、そのまま端末に届いたのか。なぜ、フリーメールの添付ファイルを削除するように設定されていないのか?
4
Sea_Doberman @Sea_Doberman 2015年6月6日
テレビで、「最近の戦争はサイバー戦争。日本の政府、自治体のレベルが低すぎる」という指摘をされていたけど、まさにその通り。日本人は日本政府のやることなすこと全てが先進国レベルではない現実に気づいたほうが良い。
3
a.fox @yomi10111_a 2015年6月7日
というか、年金データベースがオープンネットに繋げる意味がわからない。 年金データベースは昔ながらの台帳とバーコードで事が済むし、設計ミスだろこれ。
1
Shinichiro Joya @joyan0930 2015年6月13日
人為的ミスで処理してしまうのは、早計。 当然、セキュリティインシデントを防ぐ手立てとして、FW、IPS、WAF、WAF DB、ファイル改ざん検知SWの導入、個人PCのVDI化や定期的なセキュリティ教育、不必要な権限付与、FWのポート開放は行わないなど、攻撃を防ぐために最大限企業は努力しなければならない。
0
Shinichiro Joya @joyan0930 2015年6月13日
しかし、まとめにもある通りSW・アプリケーションの脆弱性は無くならないし、標的型攻撃はウイルス対策ソフトには検知されない可能性が高い。最近では水飲み場攻撃と言って、サイトにアクセスするだけでスパイウェアなどが混入するケースもあり、気をつければ大丈夫。引っかかる奴が馬鹿なんだ、悪いとも言えない状況である。 この事から、攻撃は100%防げる物ではないと考えなければならない。
0
Shinichiro Joya @joyan0930 2015年6月13日
じゃあどうするか、やはり早期に攻撃を検知して影響範囲・漏洩範囲を特定するほかならない。例えば、syslogサーバを構築してあらゆるログを集約する。SWなどで、予め想定していない通信が発生した場合はアラートあげるなど、すぐ気づける仕組みを作る。 また、社内ではインシデントが発生した場合にどのようなプロセスで判断をコミットするのか、社内ワークフローを確立する必要がある。社内にもCSIRTに相当する組織が必要ではないか。
0
Shinichiro Joya @joyan0930 2015年6月13日
鉄は熱いうちに打てとはよく言った物で、こういった大きいセキュリティ事故が発生すると社内も意識が高まる。このタイミングに、システム的な側面だけでは無く会社組織運営の側面でも見直しが必要なのかなーと思ったりします
0
ありよし/コアロン @TnrSoft 2015年6月13日
新人の頃ですが、添付ファイルが送られて来たら送り元に電話で確認するように指導されました。 (というかメール、FAX送る際は送り先に電話を一報いれる) 今はそう教えられていないんですかねえ?
1