お客さまの情報を預かっている会社やお店、サイトの運営者は、いま何を確かめればよいのでしょうか。IPA(情報処理推進機構)が、2026年10月9日に、速やかに行う点検と、その後の対策をまとめています。
会員情報や問い合わせ情報を持っている中小企業・個人事業主の方向けに、やさしく整理します。
広告
なぜ、いま点検が必要なの?
国内の金融機関や通信事業者など、幅広い事業者から、不正アクセスによる情報漏えいの公表が相次いでいます。公表された事例から、外部に公開しているアプリケーションやサービスの侵害、アカウントの侵害が、きっかけになっていることがうかがえます。特定の製品の弱点を狙った攻撃と断定はされていません。
まず行う点検は、3つ
| 点検 | 確かめること |
|---|---|
| 1. 外部に公開しているアプリの精査 | 自社で作って動かしている、外部公開のアプリやサービスがあるか。それぞれの直近のログに異常がないか(エラーの量が、ふだんと違わないか)。まだ適用していない脆弱性の修正プログラム(パッチ)がないか。 |
| 2. 利用している外部サービスの洗い出し | クラウドサービス、VPNサービスなど、組織全体・部署ごとに使っているサービスを、できるだけ全部あげる。サービスごとのログに異常がないか。作った覚えのないアカウント、削除したはずなのに有効になっているアカウントがないか。 |
| 3. 保有データの再点検 | 持っている情報を正確に把握し、「不要な情報は持たない」という原則で、必要最小限にする。 |
ログの確認は、直近1か月、そのあと3か月というように、段階的に範囲を広げます。あとで複数回調べることも考えて、「だれが、どのように調べられるか」も、把握しておきます。サービスごとに、ログを保存する期間が違う点にも、注意が要ります。
異常が見つかったら
異常なログやアカウントが見つかったときは、すぐに、セキュリティインシデントとして対応を始めます。情報漏えいの可能性を考えて、専門のセキュリティ事業者に、詳しい調査を頼むことが、強くすすめられています。
点検のあとに取り組む対策
| 対象 | 対策の例 |
|---|---|
| 外部に公開しているアプリ | 公開範囲の見直し/認証(多要素認証・パスワード)の強化/アカウントに与える権限の見直し/API連携などの構成要素ごとの管理の見直し/ログの取得内容と保存期間の見直し |
| 利用している外部サービス | 認証(多要素認証・パスワード)の強化/アカウントを与える範囲の見直し/アカウントの棚卸しの運用の見直し/ログの取得内容と保存期間の見直し |
| 保有するデータ | データを持つこと自体の再検討/保管場所の再検討/データへのアクセスログの見直し/データの暗号化 |
広告
経営者が持つ3つの原則
- サイバーセキュリティのリスクは、会社のリスク管理の重要な課題。経営者のリーダーシップで進める。
- 自社だけでなく、国内外の拠点、取引先、委託先まで、サプライチェーン全体に目を配る。
- ふだんも、緊急のときも、関係者との積極的なコミュニケーションが必要。
中小企業が使える、IPAなどの支援
- 中小企業の情報セキュリティ対策ガイドライン(第4.0版):考え方と、段階的な進め方。
- 5分でできる!情報セキュリティ自社診断:25の項目に答えて、対策の状況を把握するツール。
- SECURITY ACTION:対策に取り組むことを自己宣言する制度。ロゴマークを無料で使えます。
- サイバーセキュリティお助け隊サービス:「見守り」「駆けつけ」「保険」などを、まとめて安価に提供する民間のサービス。
- 企業組織向けのサイバーセキュリティ相談窓口:初動対応などの相談ができます。個別のシステムの質問には、答えられない場合があります。
まとめ
点検は、外部公開のアプリ、外部サービス、保有データの3つ。異常があれば、インシデントとして対応して、専門事業者に調査を頼みます。そのあとに、認証の強化、権限の見直し、ログとデータの見直しを進めます。
最新の情報は、IPAのページが更新されることがあります。個別のシステムの対応は、社内の担当者や委託先、専門の事業者に相談してください。
関連記事
出典
- IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」(2026年10月9日公開。2026年10月31日に確認)
広告