逆引きで考える
経営と情報セキュリティ
日本マイクロソフト株式会社
チーフセキュリティアドバイザー
高橋 正和

企業における情報セキュリティの現状• ISMSやプライバシーマークを持っていても、セキュリティ事故が起きる• 標的型攻撃を防げる気がしない• XPからの移行が出来ない最大の理由は、「予算が取れない」• つまり、経営者を説得できない• リスク分析、ビジネスインパクト分析なんて、現場にできるわけがない• 初めて、経営者とIT関係者が真剣に対応を話し合う機会は• 残念ながら、セキュリティ事故が発覚した時• 事故が起きる前に、考えてみてはどうだろうか？

2

セキュリティ事故シミュレーションの5つのシナリオ• シナリオ
1.
2.
3.
4.
5.

「ウィルスに感染し、機密情報が海外に送信」と報道された
従業員が顧客情報が入ったノートPCを紛失した
インターネット上に取引先の機密情報が掲載されていると連絡が入った
Webサーバーにウィルスが仕込まれて、閲覧者が感染をした
クレジットカード情報を含む大量の顧客情報の流失が判明した

3

セキュリティ事故シミュレーションの課題• 課題1• CIO側のシナリオ• あなたはIT部門の責任者で、事件の発生を金曜日の15:30に知ることとなりました。
• 他社の事例から、事件を公表する必要があると判断しました。
• 公表の必要性を経営者に説得する必要がありますが、経営者は17:00には外出し、週末は連絡が付きません。
1. 17:00までに、事件を公表するためにすべきことをまとめなさい
2. 経営者を説得するための報告書をA4２枚程度で作成しなさい• 経営者側のシナリオ• あなたは経営者もしくは経営陣の一員で17:00には外出をしなくてはなりません。（外出の理由を考える必要がある）
1. 事件を適切に処理するためには、IT部門にどのような対応を求めますか？
2. 外出をキャンセルして、事故対応にあたるという判断をするためには、どのような情報が必要ですか？
3. 公表（自社のWebで周知、記者会見、公表しない）をどのように判断するか？
4. 報告をすべき内部・外部の関係者を上げてください
5. リーガルチェック• 課題２• 公表を前提とした再発防止策を策定してください• 課題3• 損害額とビジネスへの影響を分析してください4

参考資料
東京商工会議所
危機管理対応マニュアルから抜粋

5

公表についての雛形• 緊急対策本部の必要性• 情報収集の一元化と、方針決定をするための対策本部を設ける必要があるかどうか• 以下、設置する場合• 本部長はだれか• トップまたはナンバーツー• 構成メンバーはだれか• 必要な部署の管理職７～８人• １時間以内に召集できるか• 対策本部の場所（フロア、部屋）はどこか• 対応方針の決定について• ただちに回収をするかどうか• 製造を中止するかどうか• 緊急に記者会見をひらくかどうか• 回収告知をするかどうか企業が連絡を取るべき対象のチェックリスト
□納入先

□関係会社

□問屋

□主要株主

□仕入れ先
□小売店

□輸送会社
□関係当局
□ユーザー
□保険会社

□関連団体
□弁護士

□広告会社
□PR会社

□フリーダイヤル会社□マスコミ□社内関係部門 □メインバンク

6

事件の把握（欠陥商品発生時）
企業がチェックすべき12のポイント
••
•
•
•
••
•
•
•
•
•

判明したきっかけ（症状、現象）はどんなこと？
自社および取引先に具体的な損害は出たのか？

それはどのような状況下で発生したのか？（5W1H）
第一報はどこの誰からどこの誰に入ってきたのか？
それはいつ（○月△日○○時）か？

それに対し誰が誰にどんな指示（返答）を出したか？

第一報を知らせてくれた相手についてわかっていることはなにか？
お客様に具体的な実害、被害は出ているのか？

その後、げんざいまで新たな情報は出ているのか？

原因は当社製品の不良（欠陥）といえるのかどうか？
あるとすれば、その原因は何だと推測されるのか？

発生が予想されるクライシスのチェック•

消費者やユーザーからのクレーム、問い合わせ殺到•

流通関係からの納入一時ストップ•

納入先や消費者からの返品•

PL訴訟の発生•

第三者からのクレーム•

マスコミ報道による社会的信用失墜•

行政当局からの事情調査

•

行政処分

•

売上ダウン

•

業績悪化

単発で終わるのか、第２、第３の同様の問題が発生する可能性はあるのか？

7

事件の把握（火災などの事故発生時）すぐにつかんでおくべき16のチェックポイント
事故発生の時刻はいつか？

今すぐに準備しておく資料、9つのチェック•

正式な工場の名称、住所•

工場長の名前○○工場△△部門••

どういう状況で発生したのか

従業員の人数（正社員、パートタイマー）•

なんらかの兆候はなかったのか

•

生産品名

•

想定される原因は何か•

劇薬、毒物の使用の有無•

鎮火はしたのか•

火災による有毒ガス、有毒部室の発生の可能性の有無•

現在の状況はどうなっているのか•

定期点検体制に関するデータ•

消防と警察対応はだれが担当しているのか••

死亡者はいるのか

自衛消防隊の有無と訓練内容

死亡者の名前・性別・年齢・所属名は••防火訓練の有無•

負傷者の名前・性別・年齢・所属名は•負傷者のケガの具合はどうか•

入院先はどこか•••○○時○○分ごろ

火災場所はどこか••

A、B,Cさんは○○病院、D,E,Fさんは△△病院•

死傷者の家族に連絡はとれたか•

地域住民に被害はおよんでいないか•

マスコミからの取材状況はどうか

8

最悪の事態を想定した準備は出来ているか（火災などの事故発生時）• 工場側が事実確認できなうちに、地元マスコミから工場（さらには本社）に電話取材が殺到する恐れはないか• 現場にローピングしなかったために、現場に記者が踏み込む恐れはないか• 現場に記者、カメラマンが殺到し、現地での工場対応が間に合わない恐れはないか•

119番通報を同時キャッチ、救急車、消防車と同時到着• 撮影場所をめぐってカメラマンとのトラブルが発生する恐れはないか• 現場への対置入り取材を巡って、現場責任者や当局とトラブルが発生する恐れはないか•

二次災害の防止• 記者から求められる資料、質問に関する準備の遅れに対するクレームの恐れはないか• 記者会見の実施時間をめぐりトラブルが発生する恐れはないか• 速報重視のテレビニュースで未確認情報や誤報が流れる恐れはないか• 地域住民や関係者からの話をもとにした伝聞情報や事実誤認情報が流れる恐れはないか•

情報管理の不徹底

５つの必須メッセージ項目• 謝罪表明• 何はともあれ、お詫びする企業姿勢を示すこと• 原因究明• 「なぜ発生したのか」、直ちに原因究明に「取り組んでいる」「究明に着手した」などの企業の意思を表明すること• 再発防止策（改善など）• 「○○検査室を新設した」「○○委員会を発足させることにした」など、再発防止策を具体的な制度、組織で示すこと• 現状説明（回収広報）• 不安感や憶測、疑惑などの発生を防止するために必要な情報を開示すること• 責任表明• 発生したリスクの内容に応じた会社としての責任を表明すること9マスコミからの想定質問と回答13のチェックポイント（欠陥商品発生時）• いつ不良品（欠陥商品）であることが判明したのか• 原因は何なのか• 設計ミスではないのか• コストダウンが原因ではないのか• これまでにも同様のケースがあったのではないか• 会社は事前に気が付いていたのではないか• 品質管理のミスではないのか• 品質管理体制はどうなっていたのか• チェック体制が甘かったのではないのか• では、なぜ不良品（欠陥商品）が市場に出てしまったのか• 回収は、今どうなっているのか• 実害は出ていないのか• 回収完了までに、どのくらいかかる見通しか
10

参考事例
11

IIJ:ノートPCの紛失事例
株式会社インターネットイニシアティブ（IIJ）は、2007年9月14日、同社において顧客情報の入った業務用ノート PC の紛失事故が発生したことを発表した。
紛失した PC には54社の顧客情報（見積書等）が保存されており、所轄の警察署に届け出るなど捜索を続けているが、未だ発見には至っていない。
紛失した PC は、情報資産に対するリスク管理の一環として IIJ 基準のセキュリティ対策が取られており、現時点では、不正利用等の事実は確認されていないとのこと。
紛失の発生日時と場所は、2007年9月6日23時頃、JR 山手線の車輌内。
紛失した PC に含まれていた情報は、見積書、提案書など法人顧客の情報54社分。
紛失した PC には、ハードディスク全体の暗号化、起動時およびログイン時のパスワード設定など、セキュリティ対策が施されている。
IIJ は、該当する顧客へは個別にお詫びと報告を行っており、PC の所在、情報流出については、今後も監視を継続していく。

http://japan.internet.com/busnews/20070914/3.html

IIJ では、「今回の事故を重く受け止め、今後の再発防止に万全を期す」としており、情報セキュリティ担当役員を責任者とした対策本部に12て、対策と今後の再発防止策を検討し、速やかに実施していくという。

RSA: APT

https://blogs.rsa.com/anatomy-of-an-attack/13

JAXA:ウィルス感染事例
2012/1/13

発生時刻 2011/7/6
発見時刻 2011/8/11（36日）
公表時刻 2012/1/13（191日、155日）

http://www.jaxa.jp/press/2012/01/20120113_security_j.html

2013/4/23発生時刻 2013/4/17
発見時刻 2013/4/18（1日以内）
公表時刻 2013/4/23（5日、6日）

http://www.jaxa.jp/press/2013/04/20130423_security_j.html

14

むすび
15

むすび
• ひな形ありきで考えたセキュリティ対策では、実際の事故に対応できない• 事故をシミュレーションすることで、以下の項目を明らかにする• セキュリティは経営上の問題・戦略課題であること• 事件・事故に対応するために必要な体制• 事件・事故を把握するために必要な情報• 事件・事故を防止するための対策• この結果を踏まえてひな形を参照する• ひな形はゴールではなくツールである

16

17