IPAX2007

Transcription

1 情報漏えいの現状と対策 ー課題と事件 事故防止対策 年 6 月 28 日独立行政法人情報処理推進機構セキュリティセンターウイルス 不正アクセス対策グループ研究員加賀谷伸一郎

2 目次 1. 情報漏えいの現状 2. 企業として意識すべき脅威 3. 情報漏えい事件の実例 4. 情報セキュリティ対策の指針 5. まとめ 2

3 1. 情報漏えいの現状 1.1 情報漏えい事件の現状 1.2 情報漏えい事件による影響 1.3 現状のまとめ 3

4 1.1 情報漏えい事件の現状 情報漏えい事件数と漏えい人数の推移 漏えい人数 事件数 出典 :NPO 日本ネットワークセキュリティ協会 年度個人情報漏えいインシデントに関する調査報告 速報 ver

5 情報漏えいの 原因 盗難 25.8% 2005 紛失 置忘れ 29.2% 紛失 置忘れ 42.1% ワーム ウイルス 12.2% 2006 盗難 19.0% 出典 :NPO 日本ネットワークセキュリティ協会 年度個人情報漏えいインシデントに関する調査報告 速報 ver

6 情報漏えいの 経路 紙媒体 49.9% FD 等可搬記録媒体 15.7% PC 本体 16.8% 2005 FD 等可搬記録媒体 8.2% PC 本体 10.7% 2006 紙媒体 43.8% Web Net 経由 22.0% 出典 :NPO 日本ネットワークセキュリティ協会 年度個人情報漏えいインシデントに関する調査報告 速報 ver

7 漏えい 経路別の漏えい人数の比率 PC 本体 23.3% 2005 FD 等可搬記録媒体 51.1% 2006 FD 等可搬記録媒体 56.5% Web Net 経由 6.6% 出典 :NPO 日本ネットワークセキュリティ協会 年度個人情報漏えいインシデントに関する調査報告 速報 ver

8 1.2 情報漏えい事件による影響 直接損失 紛失や破壊などによる物的 人的な直接的被害 間接損失 業務停止 機会損失 賠償被害 社会的信用の失墜など 顧客離れ 解約 入会保留など 対応費用 再発防止対策費用 顧客対応費用 ( 金券送付 窓口対応など ) マスコミ対応 漏えい情報の回収費用 8

9 合計漏えい人数賠償額 想定損害賠償額と漏えい人数の経年変化 1 件当り想定損害賠償額 損害賠償額想定損害賠償額 総額出典 :NPO 日本ネットワークセキュリティ協会 年度個人情報漏えいインシデントに関する調査報告 速報 ver 漏えい人数 3.4 億円 5.5 億円 13.9 億円 7.1 億円 4.8 億円 9

10 情報漏えい事件の舞台裏 流出情報を探し求めるめるユーザユーザが存在存在する! 中でも特に悪質なユーザは金銭目的で行動 漏れたれた情報情報の行く末は 名簿は 名簿業者に売られる 個人情報は直接本人に 削除と引き換えに金銭要求 プライベートな猥褻写真は 路上やネットで売られる 10

11 1.3 現状のまとめ 些細なことでも公表され ニュースになる 紛失 盗難 件数は相変わらず多い コンピュータウイルスが原因原因の事件が増加 ウェブやネットネット経由経由でのでの漏えいえいが増加 情報漏えい事件の内容に変化が 11

12 2. 企業として意識すべき脅威 2.1 ファイル交換ソフトの仕組み 2.2 ウイルス感染と情報漏えいの関係 2.3 巧妙化するウイルス 2.4 ウェブサイトへの不正アクセス 12

13 2.1 ファイル交換ソフトの仕組み 公開したいしたいフォルダフォルダを自分で設定設定するする そのフォルダフォルダ内のファファイルが共有共有されるされる 13

14 Winny による情報流出の脅威 Winny ユーザ数の推移 ( ネットエージェント社調べ ) 2005 年 12 月 約 30 万ノード ( 台 ) 2006 年 3 月 10 日 約 54 万ノード 2006 年 5 月 7 日 2006 年 7 月 2 日 2006 年 12 月 30 日 約 52 万ノード 約 48 万ノード 約 45 万ノード 2007 年 4 月 30 日 約 53 万ノード 情報流出事件が相次いでいるにもかかわらず ユーザ数は一向に減らない 14

15 Winny による情報流出の脅威 ( つづき ) 海自データの拡散状況 ( ネットエージェント社調査資料より ) 約 1200 人 約 600 人 3 月 2 日までに 3433 人にダウンロードダウンロードされた ここまで広く流布流布されるとされると 回収は事実上不可能 2006 年 15

16 2.2 ウイルス感染と情報漏えいの関係 ウイルスがファイルを勝手に操作 16

17 ウイルスによって流出した情報の実例 氏名 Winny ネットワークからからダウンロードしたファイル (zip 圧縮ファイル ) 解凍するとすると 氏名 17

18 Winny を使っていなくても 山田ウイルス 山田オルタナティブ に感染すると あたかもホームページを見られるように 感染パソコンの中身が覗かれる 18

19 2.3 巧妙化するウイルス 圧縮ファイルと思って開いたら 偽のメッセージを表示して注意をそらす! 19

20 ウイルスによって流出した情報の実例 流出ファイル 氏名 新しいしいフォルダフォルダ??? 20

21 ウイルスによって流出した情報の実例 ( つづき ) 見方を変えるとえると 氏名 ウイルス! 21

22 2.4 ウェブサイトへの不正アクセス SQL インジェクション攻撃 ぜい弱 ぜい弱 22

23 コンピュータのぜい弱性 ぜい弱性 (vulnerability) とは? システム アプリケーションなどのセキュリティを損なうような 予定外の望まない事象を起こせる弱点のこと ( セキュリティホールともいう ) ぜい弱性弱性を放置放置すると? 容易に侵入される 容易にウイルス感染させられる 侵入者にとっては最適な獲物! 23

24 ウェブサイトのぜい弱性届出 種類別 SQL インジェクション 25% クロスサイト スクリプティング 43% 届出受付開始からの累計 782 件の内訳 出典 :IPA - ソフトウエア等の脆弱性関連情報に関する届出状況 [2007 年第 1 四半期 (1 月 ~3 月 )] 24

25 SQL インジェクションの攻撃傾向 件数 攻撃件数 被害件数 出典 : 株式会社ラック- 侵入傾向分析レポート Vol.8 より 25

26 3. 情報漏えい事件の実例 3.1 Winny を媒介とした情報漏えい 3.2 不正アクセスによる情報漏えい 26

27 3.1 Winny を媒介とした情報漏えい 27

28 MSN-Mainichi Mainichi INTERACTIVE サイトより引用 28

29 中日新聞サイトより引用 29

30 ~ ~ 途中文章割愛 ~ 以下 文章割愛 株式会社アラクスサイトより引用 30

31 自治体からの情報漏えい (2007 年 5 月 ) 同時多発!! 山口県山口市 愛媛県愛南町 長崎県対馬市 秋田県北秋田市 同一の外部委託先 1 台のパソコンから 31

32 ( 参考 ) ) サイトより引用 32

33 3.2 不正アクセスによる情報漏えい SQL インジェクション攻撃のメカニズム SQL インジェクションのぜい弱性がある場合 悪意あるリクエストにより データベースの不正利用をまねく可能性があります 悪意のある人 データベースへの命令文を構成する入力値を送信 ウェブサイト データベースへ命令を送信 情報漏えい ウェブアプリケーション SQL インジェクションのぜい弱性があるウェブアプリケーション 改ざん データベース 消去 33

34 ITmedia サイトより引用 34

35 ~ 途中文章割愛 ~ ~ 以下 文章割愛 ~ 株式会社好日山荘サイトより引用 35

36 ~ 以下 文章割愛 ~ 株式会社再春館製薬所サイトより引用 36

37 4. 情報セキュリティ対策の指針 4.1 事件からの教訓 4.2 今後の対策指針 4.3 まずは現状を知ること 4.4 情報セキュリティマネジメントの基本 37

38 4.1 事件からの教訓 委託先や自宅など 組織外部から漏れている USB メモリ等の小型メディアでの情報持出し 元従業員から漏れている 管理不行き届きで持出された情報が漏れている! ぜい弱性対策に抜けが 攻撃を受けていたことに気付かなかった 対策漏れ 不注意が命取りに! 38

39 4.2 今後の対策指針 ウイルス対策 不正アクセス対策 ( ぜい弱性解消 ) は最低限必要なもの やってて当然 情報漏えいを防止するのであれば 情報管理体制を根本から見直す必要有り 情報を持出持出させない のが基本 人間の不注意行動や管理の限界を技術的対策でカバーする必要がある 正当な権限無権限無き者にはにはファイルファイルを読ませない サイトへのへの不正不正アクセスアクセスの兆候兆候を見逃見逃さない 39

40 4.3 まずは現状を知ること 情報セキュリティセキュリティ対策対策ベンチマークシステム こんなときに! 40

41 情報セキュリティベンチマークとは? セルフチェックにより 自社の現状と望まれる水準との差を把握 自社と同じタイプの企業群の取組状況に基づく指標と推奨される取り組みを提示 40 問のアンケートに答えるだけ 設問のサンプル 情報セキュリティポリシーや情報セキュリティ管理に関する規程を定め それを実践していますか 導入しているソフトウェアに対して適切なぜい弱性対策を実施していますか 主要な業務に関わるプロセスのうち インターネットに依存している割合はどの程度ですか 41

42 ベンチマーク結果例 診断結果がレーダーチャートで表示されます 望まれる水準 自社のスコア 平均 中心に近い程 セキュリティレベルは低くなります 42

43 ベンチマーク結果例 つづき 回答結果より 自社の位置が表示されます セキュリティ対策の取り組み状況など 他社と比較した結果になります この例の場合 平均よりも若干セキュリティレベルが低くなっています 43

44 4.4 情報セキュリティマネジメントの基本 PDCA サイクルによる セキュリティレベルの向上 Act 見直し 改善 分析 見直しフェーズ 点検 監査 継続的改善 リスクアセスメント 管理策の選定 ポリシー作成 計画フェーズ Plan Check ( 財 ) 日本情報処理開発協会の資料を基に作成 Do 導入 運用 構築 運用フェーズ 44

45 情報セキュリティポリシーの構成 手続き 要件 What How 考え方 Why 情報セキュリティ基本方針 ポリシー 情報セキュリティ対策基準 スタンダード セキュリティポリシー宣言文セキュリティポリシー宣言文目的目的 / 方針 / 方針 / 適用範囲 / 適用範囲 / 体制などの / 体制などの基本的事項を記載基本的事項を記載 実施手順 プロシージャ 情報セキュリティ対策基準情報セキュリティ対策基準基準書基準書 / 標準書 / 標準書 / 規程書など / 規程書など要件 遵守事項を記載要件 遵守事項を記載情報セキュリティ実施手順情報セキュリティ実施手順アプリケーション利用手順書 アプリケーション利用手順書 メールメール / グループウェア / グループウェア /Web/ /Web/ ネットワーク利用手順書ネットワーク利用手順書などなど各種申請書各種申請書 / 届出用紙 / 届出用紙などなど Guide to How How ガイドライン 実施手順 プロシージャ ガイドラインを分ける考え方もあります 45

46 リスクアセスメント 脅威 脅威 脅威 守るべきるべき資産資産 ( 情報資産情報資産 ) 情報システム情報システムシステム ネットワークシステム ネットワーク ハードウェアハードウェア (PC (PC サーバ サーバサーバ サーバ 通信機器 ケーブル通信機器 ケーブル )) ソフトウェアソフトウェア (( アプリ アプリ OS OS 等 )) データデータ (( 財務情報 人事情報財務情報 人事情報人事情報 人事情報 顧客情報 戦略情報顧客情報 戦略情報戦略情報 技術戦略情報 技術情報情報等 )@ )@(( 紙 電子媒体紙 電子媒体電子媒体 電子媒体 ネットワーク上 口述ネットワーク上 口述口述 会話口述 会話 )) ノウハウ 社会的信用ノウハウ 社会的信用 脅威 脅威 外部からのからの要因要因 ( 脅威脅威 ) コンピュータウイルス等コンピュータウイルス等 不正アクセス不正アクセス サービス妨害サービス妨害等 脅威 内在するする要因要因 ( 脅威脅威 ) セキュリティ機能セキュリティ機能機能の欠如機能の欠如 ソフトウェアの欠陥ソフトウェアの欠陥 (( ぜいぜい セキュリティモラルの欠如セキュリティモラルの欠如 ぜい弱性弱性 )) 等 46

47 組織で規定されたポリシーに従うこと! The strength of the chain is in the weakest link. 鎖の丈夫丈夫さはさは 最も弱い環で決まるまる 一人でもポリシーに反する人が居ると?! 47

48 5. まとめ そこに情報があるから漏れる! 持出してはいけない から 持出持出せてはいけないせてはいけない へ 漏れて他人の手に渡っても大丈夫な対策 が有効 暗号化 規定の整備と厳格厳格な運用 ウェブサイトのぜいぜい弱性解消 過去の事例に学べば対策はおのずと見えてくる! 48

49 ( 参考 ) 個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン の改正について ( 改正要旨 ) ( ガイドライン本文 ) 49

50 セキュリティ対策を体系的に学ぶには IPA 主催の 情報セキュリティセミナー 基礎コースマネジメントコース技術コース標準編技術コース専門編 50

51 IPA の教材

52 IPA の教材

53 セキュリティセンター (IPA/ISEC) 情報セキュリティセキュリティ関連相談窓口 : TEL 03( ) ( 平日 10:00-12:00 12:00 13:30-17:00) 17:00) FAX 03( ) mail: virus@ipa.go.jp ( ウイルス関連 ) crack@ipa.go.jp ( 不正アクセスアクセス関連 ) winny119@ipa.go.jp (Winny 関連 ) isec-info@ipa.go.jp info@ipa.go.jp ( その他セキュリティセキュリティ全般 ) 53