資料2-4

サイバー攻撃被害に係る情報の共有・公表ガイダンス検討会
第2回
第1回検討会での議論に関連する論点の振り返り

⼀般社団法⼈JPCERTコーディネーションセンター*

【再掲】本検討のスコープについて

1

Copyright ©2022 JPCERT/CC All rights reserved.

第1回⽬資料2-2
スライド2

【再掲】本検討のスコープについて

2

Copyright ©2022 JPCERT/CC All rights reserved.

第1回⽬資料2-2
スライド4

本検討のスコープについて︓ガイダンスの主な対象
各組織の内発的動機（モチベーション）や、いわゆる⼀般的なインセンティブ（≒外発的動機付け）だけでは限界があることが問題の根底にあり、「共有／公表しやすい」環境づくりが必要ではないか
内発的動機づけ・他者への“共有”、“注意喚起”⽬的での公表（※効果の有無は別として）

外発的動機づけ
⾃発的に動ける被害組織

外部との関係で動く組織

・法令／制度に基づく報告・届出・法令／制度に基づく公表
・取引先への報告、顧客へのお詫び
・「やむを得ず」⾏う公表

・純粋に共有⽬的の情報提供
・（右記以外の⽬的での）全容解明のための情報交換としての共有

・「顔が⾒える関係」の情報共有活動における共有（他社からの承認・⾮承認）

共有・公表に積極的に取り組めない組織

各情報共有活動毎の背景／⽬的による既存の法令／制度等による対象︓情報共有の価値を理解しているが、諸事情により消極的になっている（いた）層

社会的に有益が⾏動がしやすい環境（※）
既存の制度やガイダンス等がない（※）参考︓飯⽥⾼「法と社会科学をつなぐ」（2016年）78⾴

3

Copyright ©2022 JPCERT/CC All rights reserved.

本検討のスコープについて︓「共有」の観点から共有したいと考えているがどうしたらよいかわからない／社内調整ができていない組織

被害組織

共有活動
専⾨組織

インシデント対応先で⾒つけた情報を共有したいと考えているが調整ができていない組織

被害組織「どのような情報を、どのタイミングで、どのような主体と共有することが適当なのか等を検討するための実務上の参考」のニーズがある対象

共有活動
専⾨組織

共有することをそもそも判断していない組織

被害組織

共有活動
専⾨組織

4

Copyright ©2022 JPCERT/CC All rights reserved.

共有を⾏うための「仕掛け」が必要な対象⇒既存の仕組み、制度では不⾜しているものの検討が必要【参考】共有活動の現状について被害組織⾃⾝が判断／準備し、⾃ら共有活動に展開するもの

⼀部のISAC等
被害組織

共有活動

被害組織⾃⾝が判断し、ハブ組織が準備・展開するもの

被害組織

共有活動

専⾨組織

共有活動

専⾨組織

共有活動

被害組織⾃⾝が判断し専⾨組織から間接的に共有されるもの

被害組織

専⾨組織の案内／説得により専⾨組織経由で共有されるもの

被害組織

5

Copyright ©2022 JPCERT/CC All rights reserved.

感覚的にはこれらの割合が多いのではないか

専⾨組織・CISTA（早期警戒情報）
・J-CSIP本検討のスコープについて︓「公表」の観点から法令や制度上、公表が必要な対象事案
既存の法令／制度の案内（上記以外で）⼆次被害防⽌のために公表が望ましい事案
どのようなケースの場合、公表が望ましいのか⽰す
被害組織

どのようなケースの場合、公表が望ましいのか⽰す公表によって広く知られることに社会的意義のある事案

被害組織
専⾨組織

専⾨組織のレポート公表
等による“間接的”な公表（※）の効果を⽰す※被害組織名は匿名のものを想定

その他

6

Copyright ©2022 JPCERT/CC All rights reserved.

上記以外で公表の必要性や効果を⽰すケースがあるがどうか要検討第1回検討会での主なご意⾒「⽬的」の観点－攻撃の種類によって、共有の⽬的／価値はわかるので、⽬的別（⽅法別）の整理が必要－「何のための公表を⾏うのか」の整理－公表することで個別問い合わせを交通整理でき、“避雷針”の役割がある－被害組織と専⾨家間、または専⾨家同⼠だけの共有だけでなく、公表や取材による社会⼀般の理解、問題意識が惹起される社会的意義についても⾔及すべき「時間」の観点－せっかく情報提供を受けても1年以上前のものなど“賞味期限”が過ぎている場合がある－公表タイミングの問題。共有と公表の間が間延びする問題「理解促進」の観点－経営層や広報等に「どんな情報なら外部に共有しても問題ないか」「共有によるどのような効果があるのか」⽰せるとよい－情報提供する側の（共有活動に対する）理解を⾼めたい－「公表しないことのリスク」を⽰すことも重要－指針などにより、被害組織と専⾨組織側が安定してやりとりでき、共有活動が継続して⾏えることが重要－共有／公表に関わる各プレイヤーの様々に異なる⽴場／役割を⽰すべき「信頼性」の観点－機微な情報が共有（提供）情報に含まれる場合のクリアランス－受け取った情報を適切に活⽤できるかなど共有活動参加者の資質も重要なポイント「契約との関係」の観点－セキュリティベンダの活動上の制約を緩和するような契約上の措置やそのメリットの解説の必要性「外部組織との連携」の観点－被害組織の判断のみで100点の共有・公表判断ができるものではない－専⾨機関への相談スキームや様々な届出窓⼝の周知／案内が必要－警察への相談・通報の促進を⽰すべき
7

Copyright ©2022 JPCERT/CC All rights reserved.

第1回⽬資料2-2
スライド20【再掲】情報共有の⽬的
各⽴場によって共有の⽬的は（多少）異なる（調査のための）不⾜している情報を得たい（情報展開のための）不⾜している情報を得たい＋（情報展開のための）標的となっている範囲／分野を把握したい被害組織

情報共有のハブ組織（専⾨組織等）

被害未然防⽌のための情報が欲しい
情報共有活動参加組織
8

Copyright ©2022 JPCERT/CC All rights reserved.

【再掲】「共有」の異なるタイミング／⽬的

第1回⽬資料2-2
スライド25

いつ⾏う「共有」活動かによって⽬的／効果は異なる

9

短期的共有

中期的共有

被害組織
（個別組織）

被害未然防⽌早期検知（被害の）全容解明（原因特定、被害範囲特定）

情報共有活動
（参加組織側全体）

被害拡⼤防⽌※個社対応フェーズに移る

情報共有活動（ハブ組織側）

攻撃範囲把握※個社対応フェーズに移る

専⾨組織

原因特定

（攻撃の）全容解明

Copyright ©2022 JPCERT/CC All rights reserved.

⻑期的共有ノウハウ共有

攻撃グループの動向把握

【再掲】各共有活動が主に扱う情報第1回⽬資料2-2
スライド6

共有活動の⽬的に応じて特定のタイミングで主に扱う情報の種類は異なる
情報量︓少情報量︓多（共有に必要な）情報の鮮度︓有コンテクスト情報

被害組織名
業種／規模
ノウハウ共有⽬的の共有活動

被害内容
タイムライン（対応状況）
タイムライン（技術情報）
攻撃主体に関する情報

全容解明のための共有活動

攻撃対象システム（被害対象の）対策状況

技術情報

被害予防／拡⼤防⽌⽬的の共有活動

脆弱性関連情報等
その他TTP
マルウェア
通信先

10

鮮度︓無

被害予防／拡⼤防⽌⽬的の共有活動

Copyright ©2022 JPCERT/CC All rights reserved.

【再掲】どういう情報の共有が共有効果があるのか

第1回⽬資料2-2スライド32

ある程度の期間内において、複数の標的組織に対して同⼀の攻撃インフラを使いまわしている場合
同⼀ハッシュ値を持つマルウェア等を⽤いる場合
特定の初期侵害⽅法／特徴的なTTPが⾒られる場合

11

攻撃インフラの使いまわし

特敵の初期侵害
⽅法／対象

通信元A

初期侵害⽅法C

通信元B

初期侵害⽅法C

Copyright ©2022 JPCERT/CC All rights reserved.

（その他）特徴的なTTP／痕跡

同⼀／特定のマ
ルウェアの使⽤

その他TTP

マルウェアD

その他TTP

マルウェアD【再掲】攻撃類型毎の共有効果

第1回⽬資料2-2
スライド33

あらゆる種類の攻撃類型において必ずしもユーザー組織間での情報共有が有効とは限らない
ただし、専⾨組織間においては、攻撃類型を問わず、共有が有効なケースが多い「共有してみないと、共有が有効がどうかわからない」ケースもあり得るが、専⾨組織が展開予定の情報をある程度精査・補強する必要がある
攻撃インフラ︓使いまわし
TTP︓ある程度⼀致
例）標的型サイバー攻撃

共有効果あり※標的型サイバー攻撃︓いわゆる「Advanced Persistent Threat (APT) 」

12

攻撃インフラ︓バラバラ
TTP︓ある程度⼀致例）（いわゆる）標的型ランサム攻撃

共有効果は限定的

攻撃インフラ︓バラバラ
TTP︓バラバラ※ただし、特定製品の脆弱性を悪⽤するケース
例）Webサーバの脆弱性を突く不正ア
クセス

共有よりも注意喚起が有効

Copyright ©2022 JPCERT/CC All rights reserved.

※専⾨組織間では共有もなお有効※専⾨組織間では共有もなお有効公表の⽬的
義務的

法令／制度上義務または求められているもの

（例）
－各業法
－個⼈情報保護法－適時開⽰﹁やらざるを得ない﹂（上記以外で）⼆次被害防⽌のために公表を⾏うもの－顧客情報漏えいの場合（※個情報）－対外向けサービス停⽌に係るアナウンス

被害事実／推測される情報が外部に知られた場合／知られる可能性が⾼い場合に⾏うもの

積極的理由－従業員や利⽤者のSNS上の情報発信－未公表情報に関する報道－（主に海外の）セキュリティベンダのレポート公表や報道等から未公表情報が明らかになるもの－ステークホルダーへの個別連絡を進める中で第三者に情報が伝わる可能性がある場合その他組織の判断として⾏われるもの
13

Copyright ©2022 JPCERT/CC All rights reserved.

公表の社会的意義
広く脅威（※個別の被害ではない）が認知されることの効果があるのではないか︖
脅威が認知されることで対策の必要性が理解されるようになる－各企業等での対策実施、製品導⼊が進む－国の施策等への理解が進む
脅威が認知されることで、根本的原因への対処がすすむ－潜在的な被害組織の外部にある原因（特定の攻撃インフラの悪⽤など）に対する措置が進む
14

Copyright ©2022 JPCERT/CC All rights reserved.

公表の社会的意義
ケーススタディ︓2014年〜2015年 Emdivi事案（Operation CloudyOmega）
公表情報や報道から、攻撃インフラの問題には注⽬が向かなかったケース
2015年

2014年

年⾦機構事案

Emdiviであることは⽰されたが、攻撃インフラについては⾔及されず多くの事案で被害公表が速やかになされたが同⼀の攻撃キャンペーンと紐づける情報は記載されず各保険組合からの注意喚起
セキュリティコミュニティ内
での情報共有C2サーバの⼤半は国内のクラウドサービス上で稼働している点に⾔及（個社名は⽰さず）

C2サーバの⼤半は国内クラウドサービス上で稼働する正規サイトを改ざんしもの

15

C2サーバ

Copyright ©2022 JPCERT/CC All rights reserved.

2014年11⽉
ベンダレポート
公表＋報道第1回⽬資料2-2
スライド47【再掲】公表までに⼀定の時間を要するケース

被害組織が「早期に公表したい」と考えていたとしても、調査進捗や関係者間調整により、公表時期は後ろ倒しになりがち
攻撃

認知

初動対応

調査（精査）

侵害原因特定攻撃時期－認知時期の間が空けば開くほど、調査には時間がかかる（ログの保存期間の都合等）

侵害範囲特定侵害原因／攻撃の全容解明の進捗次第で左右される

被害範囲（内容）特定侵害範囲特定の進捗次第で左右される
16

Copyright ©2022 JPCERT/CC All rights reserved.

報告等

公表

関係者間調整事前の報告／調整先が多ければ多いほど、公表までの準備期間が延びてしまう⇒被害組織が希望した時期に公表が間に合わないことも各制度の整理（蔦委員説明で対応を想定）

17

Copyright ©2022 JPCERT/CC All rights reserved.

理解促進の観点
ガイダンスの効果として、部⾨間調整のための共通理解の促進につながるのではないか
何のために共有が必要なの︖※外部との窓⼝として社内的に認められていない場合も経営層
漏えいリスクは︖

専⾨組織

所管省庁等への対応

広報・渉外どういう効果あるのか︖（負担に⾒合うのか）

情報共有活動

経営層

運⽤部⾨／原課
18

セキュリティ部⾨

Copyright ©2022 JPCERT/CC All rights reserved.

信頼性の観点
TLP指定
守秘義務（法令）

機微な情報の提供元
CS協議会

提供情報を共有活動に展開する仲介役

⾮構成員

海外機関

JPCERT/CCTLP指定
情報共有活動

被害組織

TLP指定
第三者

個別組織

法的に強制⼒のない範疇の不適切な取り扱いにおいて、情報の提供元に対しては仲介組織が責任を負うことになる︖
19

Copyright ©2022 JPCERT/CC All rights reserved.

契約との関係の観点
主な論点は第1回⽬資料の参考資料に掲載済み
以後のスライドをご参考

20

Copyright ©2022 JPCERT/CC All rights reserved.

【再掲】情報共有の理屈上の“理想”

第1回⽬資料2-2
スライド37

被害組織／ユーザー組織側が個別に情報共有“コスト”を負担するのではなく、これらの組織をフォローしている（セキュリティ）ベンダ同⼠で⾒えている情報を共有すれば済むのではないか、と考えられがち（※とある情報共有活動⽴ち上げ時に関係省庁から出た意⾒）（セキュリティ）ベンダ

21

Copyright ©2022 JPCERT/CC All rights reserved.

（セキュリティ）ベンダ（セキュリティ）ベンダ

第1回⽬資料2-2
スライド38【再掲】理屈上の“理想”と“現実”

実際の（セキュリティ）ベンダ間の情報共有は後述の要因により、かなり限定的なものにとどまっている（※サイバーセキュリティ協議会等、JPCERT/CCがセキュリティベンダ等と情報共有を⾏っている現状から）共有可能なケースはかなり限定される（セキュリティ）ベンダ（セキュリティ）ベンダ（セキュリティ）ベンダ

契約上、対外的な情報提供が認められていな
いサービス／契約形態

特定の規模／業種に偏っている可能性
情報共有活動を頼めるようなベンダと付き合いのない組織
22

Copyright ©2022 JPCERT/CC All rights reserved.

【再掲】運⽤保守ベンダ、セキュリティベンダ

第1回⽬資料2-2
スライド39※あくまで弊センターから⾒たケース
インシデント対応といっても、実際には異なるスタンスでの関与の仕⽅をしているため、「触れられる情報」「外部に共有／活⽤できる範囲」はケース毎に差が出る
運⽤保守ベンダ（あるいはその関連会社）が調査を⾏うケース

23

Copyright ©2022 JPCERT/CC All rights reserved.

セキュリティベンダ

製品／サービス提供をしている関係
でスポットで解析依頼が来るケース

セキュリティベンダ

インシデント対応全般の依頼が個別契約で発注されるケース

アナリストコミュニティなどから予備知識を⼊⼿している場合がある第1回⽬資料2-2
スライド40【再掲】（セキュリティ）ベンダの情報共有活動

主に事案対応にあたるセキュリティベンダ間で情報共有が⾏われる場合がある
セキュリティベンダとして被害対応、全容解明に必要な情報を得る⽬的であったり、被害組織の“代理”として情報共有によるフィードバック情報を得ることが⽬的
運⽤保守契約（いわゆる）
運⽤保守ベンダ

契約上許される範囲での情報の対外的取り扱い※インシデント対応時は別契約締結となる場合も

SOC事業者等

了承プロセス

セキュリティベンダ
（インシデント対応）

24

Copyright ©2022 JPCERT/CC All rights reserved.

公式／⾮公式な情報共有活動／コミュニティ活動

【再掲】（セキュリティ）ベンダとしての情報共有

全容把握のための情報共有のニーズ把握していない攻撃インフラがあるのではないか

他の顧客

25

⾃社で⾒ている事案以外にもどのくらいの範囲で被害があるのか

Copyright ©2022 JPCERT/CC All rights reserved.

他社と同じ事案を⾒ているのではないか

第1回⽬資料2-2
スライド41

【再掲】被害組織からどのように「了解」してもらうか

第1回⽬資料2-2
スライド42

専⾨機関間、（セキュリティ）ベンダ間の情報共有が“詰まる”背景
基本的に被害組織の意向に左右される情報共有（交換）により、⾒つけられていない感染や不正通信を⾒つけられるかもしれない

通信先B
侵⼊原因等

攻撃グループXが使う検体A（公開情報なし）
26

Copyright ©2022 JPCERT/CC All rights reserved.

攻撃グループXが使う検体B（公開情報なし）

【再掲】情報共有の“滞留”ポイント

第1回⽬資料2-2
スライド43

情報そのものは了承がなくとも「持ち出す」ことはできるが、情報が“逆流”したときに、「持ち出したこと」⾃体を責められてしまう恐れまた、場合によっては、（セキュリティ）ベンダ側の不注意により外部展開された技術情報から被害組織が推測／特定されてしまう場合も想定される結果として、基本的に被害組織の意向次第となる
攻撃グループXに関する注
意喚起やその他情報発信
外部への共有許可はしていない

うちで⾒つかった情報が流れている︕
攻撃グループXが使う検体AやTTP等（公開情報なし）
27

Copyright ©2022 JPCERT/CC All rights reserved.

【再掲】情報共有の“滞留”ポイント

第1回⽬資料2-2
スライド44

仮に、特定の被害組織だけで⾒つかった（と当該時点では思われた）情報は外部に共有していなかったとしても、被害組織から「⾃社だけで⾒つかった（と当該時点では思われた）情報を外部に無断で提供したのではないか」と疑われる可能性がある
攻撃グループXに関する注
意喚起やその他情報発信

外部への共有許可はしていない

うちで⾒つかった情報が流れているのか︖︖
攻撃グループXが使う検体A（公開情報なし）
28

Copyright ©2022 JPCERT/CC All rights reserved.

攻撃グループXが使う検体Bに関する公開情報

【再掲】被害組織からどのように「了解」してもらうか

第1回⽬資料2-2
スライド45

複数組織で既に同⼀検体／通信（左記）が⾒つかっている場合は前述の懸念がなくなるため、個別に了承は取らずに情報共有を⾏う

情報共有活動

攻撃グループXが使う検体A（公開情報なし）
29

Copyright ©2022 JPCERT/CC All rights reserved.

第1回⽬資料2-2
スライド36【再掲】「公開情報」とは何か「⾮公開」情報というのは、対世的秘密（Confidential）なのか、絶対的秘密（Secret）なのか

マルウェアX

通信元A分析レポートや公開解析サービス

マルウェアX

マルウェアX

攻撃インフラ上にDL元の検体がある場合

NDA契約

30

Copyright ©2022 JPCERT/CC All rights reserved.

他のセキュリティベンダ
情報共有活動参加組織

「外部組織との連携」の観点
JPCERT/CCで対応するインシデントでの事例
普段から何らかの情報共有活動に参加していない場合届出／報告なのか相談なのか判然としないまま、同時に各⽅⾯に情報を⼊れるケースも認知

所管省庁への報告①

所管省庁への報告②

初動対応

調査（精査）

公表

相談

相談

相談

報告等

地域／業種、攻撃類型、普段からのつきあい等で、都道府県警が⼀番早いケースも
都道府県警

JPCERT/CC
IPA（セキュリティ）
ベンダ

調査開始まで時間がかかるケースも様々な情報共有31

Copyright ©2022 JPCERT/CC All rights reserved.

JC3
コンピュータウイルス・不正アクセスに関する届出