IPA（独立行政法人情報処理推進機構）は、組織における機密情報や個人情報を狙ったサイバー攻撃事件の増加、更に国内基幹産業への標的型攻撃メールによるウイルス感染事件とその脅威の拡がりを受け、組織におけるセキュリティ対応状況の確認と対策の徹底を再度呼びかけている。
　昨年発覚したStuxnetによる攻撃に続いて、今年に入って海外では、航空機メーカーへの攻撃やインターネットを介した大量の個人情報漏えい事件などが発生し、9月19日には、国内で、大手総合重機メーカーへのサイバー攻撃事件が報道された。
　このような事態を受け、IPAでは、脅威を増す「新しいタイプの攻撃」への対策や、標的型攻撃メールの分析と対策を公開してきた。
　10月15日には、今回の大手総合重機メーカーの事件は防衛関連産業界を狙った標的型の攻撃であったという報道があった。
　初めに業界団体に侵入（感染）し、その団体のメールを窃取、そのメールを悪用してウイルスファイルを傘下の事業者に送りつけ、目的の事業者への侵入を図っていたということ。
　従って、自組織のセキュリティ面で弱い所をいかに無くすかが、一組織だけでなく、業界としての喫緊の課題となっている。
　また、攻撃の情報を業界として共有することが、攻撃の回避や拡大防止に重要となる。
　組織のシステム管理者は、下記の対応策およびチェックリストを活用し、日頃からの対策を徹底することが必要。
　また、不正アクセスや侵入、ウイルス感染の検知時は、IPAへの早急な届出が望まれる。

◆対応策
　組織においては、改めて、セキュリティ対策を検証し、組織システムと情報の保護に向けた継続的な尽力が求められる。対策の基本的な観点は以下のとおり。
　この中で【対策4】はIPAが先日公開したガイドで解説している。
　検討にあたっては、取り扱う組織情報の重要度、機密度を精査し、企業の社会的責任と事業継続性の観点から、相応の対策を選択することが重要となる。また、グループ企業や連携している組織では、統制されたポリシーと対策が必要だ。
【対策1】：入口（ネットワーク経路）をしっかり守る
【対策2】：ファイアウォールを抜けてもシステムにつけ入られる隙（脆弱性）を与えない
【対策3】：標的型攻撃のルートとなる箇所を防御する
【対策4】：ウイルスの活動（組織内蔓延や外部通信）を阻害、抑止する＜出口対策＞
【対策5】：重要な情報はその利用を制限（アクセス制御）する 　
【対策6】：情報にアクセスされても保護するための鍵（暗号）をかける 　
【対策7】：操作や動き(ログ証跡)を監視・分析し不審な行為を早期に発見する 　
【対策8】：万一被害が発生したら早急な対応（ポリシーと体制）をとる

　IPA（独立行政法人情報処理推進機構）
TEL 03-5978-7527
http://www.ipa.go.jp/security/topics/alert20111018.html

2011年10月31日発信