地方公共団体情報システム機構（JLIS）
情報化支援戦略部 セキュリティ支援担当

目 次
１．情報セキュリティとは

２．情報セキュリティ研修の意義
３．情報リテラシーと情報モラル

４．H28年度の情報セキュリティインシデント統計
５．ランサムウェアの事例
６．普段からの心構え（まとめ）2１．情報セキュリティとは3

情報セキュリティとは
情報セキュリティ（information security）⇒次の３つの要素（CIA）を維持すること。

◆ 機密性（Confidentiality）
情報にアクセスすることを認められた者だけが、情報にアクセスできる状態を確保すること。

◆ 完全性（Integrity）
情報が破壊、改ざん又は消去されていない状態を確保すること。

◆ 可用性（Availability）
情報にアクセスすることを認められた者が、必要なときに中断されることなく、情報にアクセスできる状態を確保すること。

※（引用）JIS Q 27000：2014 情報技術-セキュリティ技術-情報セキュリティマネジメントシステム-用語4

情報資産と個人情報◆ 情報資産資産には、不動産や商品など目に見えるもの以外に、財務情報、人事情報、顧客情報、技術情報など目に見えないものがあり、これらを情報資産という⇒普段業務で扱っている情報は基本的に全て情報資産となる。

◆ 個人情報①個人情報 従来からの考えのもので、個人に関する情報であって、当該情報に含まれる氏名、生年月日、他の情報と照合ことで容易に特定の個人を識別できるもの②個人識別符号 身体的特徴を電子計算機で利用できるよう変換した符号(顔や指紋の認識データなど)
役務の利用、商品の購入又は書類に付される符号(旅券番号、免許証番号、マイナンバーなど)③要配慮個人情報 人種、信条、社会的身分、病歴、犯罪の経歴など⇒住民情報など、しっかりと保護しなければならない。

◆ 機密情報個人情報ではないが、外部への公開を前提としていない情報⇒公開を前提としていない以上、漏えいしてはならない。

情報資産全般についても適切に管理する必要がある（引用）JNSA-WEBサイト「2-1情報資産とは」

5

JISQ15001：2006 用語定義より(個人情報は引用から一部修正)

サイバーリスクとは内部犯行による情報持ち出し

DoS/DDoS
攻撃

サービス保証（SLA）

掲示板での炎上

引用：東京海上日動 サイバー攻撃の脅威
https://www.tmn-cyber.jp/about/

6

多層防御の考え方

リスク管理において完璧な防護壁は存在しないことを前提に、視点の異なる防護策を何重にも組み合わせることで、事故や不祥事が発生する危険性を低減させることができる。
出典：コトバンク「スイスチーズモデル」 ネットワンシステムズ(株)「多層防御とは？」7

サイバー攻撃の動向・変遷
2000年頃

2010年以降

攻撃目的

技術自慢、面白半分＋多様な目的
金銭目的、破壊目的、混乱目的、主義主張

攻撃者

ハッカー、クラッカー＋ハクティビスト、テロリスト、スパイ

攻撃対象

ホームページ等＋インフラ基盤、機械、IoT

攻撃パターン

不特定多数（総当り的）

標的（攻撃対象組織）の明確化（政府機関、重要インフラ、軍事施設など）

攻撃技術

初歩的
（ホームページ運用者の人為的ミスを狙うなど）

高度な技術（ソフトウェアの脆弱性、標的のネットワーク構成・機器特性など）

セキュリティ
対策

ウイルス対策ソフト
ファイアウォール

ふるまい検知サンドボックス技術（CSIRT設置、事後対応の重要性）（ベンダー依存、事前対応）

参考：地方公共団体情報セキュリティ対策緊急会議（平成27年6月24日開催）
資料「日本年金機構の個人情報流失事案の概要と地方公共団体に求められる対応」
https://www.j-lis.go.jp/member/siryou/index.html

8増加する政府機関等へのサイバー攻撃

画面表示のみ9地方公共団体への緊急連絡件数の推移

画面表示のみ10

２．情報セキュリティ研修の意義

11

IT（セキュリティ）分野の特性
IT （セキュリティ）は「善」も「悪」も進展が早い。
スポーツでも、攻めるより守るほうが難しいといわれるが、ITの世界は特にその傾向が強く、攻撃側が圧倒的有利。

⇒「悪」からの攻撃を守るためには･･･、（引用）孫子の兵法－謀攻篇

相手のことも自分のことも知ってから勝負に臨めば、勝ち続けることができる。

相手のことを知るだけで守る力がアップする！
（引用）地方公共団体における情報セキュリティポリシーに関するガイドライン(平成27年3月版)

12情報セキュリティ研修の意義
情報セキュリティ対策には何が必要か？
⇒次の３つの対策が求められる。

◆ 物理的対策
サーバや通信機器、サーバ室自体の管理など、物理的な対策◆ 人的対策規程の整備、ルールの遵守、教育・啓発など、人的な対策◆ 技術的対策
サーバや通信機器の設定、ソフトウェア制御など、技術的な対策
物理的／技術的対策は、ある程度のお金をかけ、かつ情報部門内での対応で完結しやすい対策であるため、効果が実感しやすい。

⇒しかし人的対策は難しい。何故なら･･･、（引用）地方公共団体における情報セキュリティポリシーに関するガイドライン(平成27年3月版)

13リンゲルマンの綱引き効果（社会的手抜き）
1人だと100の力を発揮！

2人だと1人あたり93。よし！

3人だと1人あたり85。んっ？
8人だと1人あたり49。なぜ？

力が半減・・・。
集団における環境・心理的要因から、集団が大きくなるにつれ１人あたりのパフォーマンスが低下すると考えられている。
出典：フランス農学者 リンゲルマン
14

情報セキュリティ研修の意義
人的対策は、人に対して情報セキュリティに関する教育や啓発を行うものであるが、なかなか浸透しにくく、効果も見えにくい。
対策を諦めたらリスクが高まり、大きな事件につながりかねない。
現実のセキュリティ事故も、人的要因によって多くの事案が発生。

情報セキュリティとは？

◎だからこそ、地道な研修が必要。

⇒定期的に研修を！
組織では人事異動を考えると、少なくとも年に１回は行うべき。
15

３．情報リテラシーと情報モラル

情報リテラシーと情報モラル■情報リテラシー
情報機器やITネットワークを活用して、情報を自己の目的に適合するように管理、活用する能力。

■情報モラル（情報倫理）※デジタルディバイド（情報格差）
情報通信社会において必要とされる道徳やITを使いこなせるものと使いこなせないものの格差
モラル。情報マナー。
都市部と地方間における通信サービス格差

・すぐ来ると 思うな返事 ｅメール
・考えよう 電子掲示板 相手の気持ち(出展 神奈川県立総合教育センター)
引用：ASCII.jpデジタル用語辞典、WikiPedia、大辞林 第三版

1617

不正のトライアングル（不正の３要素）「不正のトライアングル」、「不正の３要素」という言葉、聞いたことありますか？

※組織が能動的に対策できるのは「動機」と「機会」の低減
引用：情報ｾｷｭﾘﾃｨｽﾍﾟｼｬﾘｽﾄ(情報処理安全確保支援士) - SE娘の剣 http://sc.seeeko.com/archives/5126634.html

17

USBメモリ紛失事案（情報モラル欠如）
報道日付

当事者

USBメモリに保存されていた情報

2017/5/25

高知県南国市（小学校）

現勤務先と前勤務先の児童計54人の名前、成績データ

2017/5/26

千葉県（県立高校）

生徒の個人情報
飲酒した後、歩道上で眠ってしまい、ＵＳＢメモリ（私物）の入った鞄を紛失

宮崎県

2017/7/25 （特別支援学校）

学習の記録、個別の指導計画、写真等

大分県
2017/10/2 津久見市

嘱託職員が持ち出し被災者台帳等のデータ

19修正パッチ未適用による事案（情報リテラシー不足）
報道日付
2017/2/6
2017/3/10
2017/4/13
2017/6/6

事業者

主な原因

福島県、秩父市
横浜市など多数
GMO-PG
都税お支払いｻｲﾄ
総務省統計局
jSTAT MAP

WordPress REST API脆弱性を突いたHP改ざん
Apache Struts2脆弱性
情報窃取
Apache Struts2脆弱性
情報窃取
Apache Struts2脆弱性
国土交通省
土地総合情報ｼｽﾃﾑ 情報窃取20

リスクへの対応（低減・保有・回避・移転）
内部統制による対応

リスクの低減（軽減）
リスクの保有（受容）リスクの回避サイバーリスク
保険で対応リスクの移転（転嫁）

引用：IPA 情報セキュリティマネジメントとPDCAサイクル
https://www.ipa.go.jp/security/manager/protect/pdca/risk.html

ご参考：サイバーリスク保険（リスクの移転）
発売時期

保険会社

商品名

1997年

米国AIG

CyberEdge（ｻｲﾊﾞｰｴｯｼﾞ）

2013/1/23

AIU保険

CyberEdge（ｻｲﾊﾞｰｴｯｼﾞ）

2015/2/9

東京海上日動サイバーリスク保険

2015/9/2

三井住友海上ｻｲﾊﾞｰｾｷｭﾘﾃｨ総合補償ﾌﾟﾗﾝ

あいおいﾆｯｾｲ同和損保
損保ｼﾞｬﾊﾟﾝ日本興亜

ｻｲﾊﾞｰｾｷｭﾘﾃｨ保険（IT業務賠償責任保険）

2015/9/2
2015/10/1

22

サイバー保険インシデント発生による損害額■2017年3月 都税、住宅金融支援機構、日本貿易振興機構
クレジット決済システム（Apache Struts2）の脆弱性を攻撃⇒40万5053件のクレジットカード番号情報が漏えい⇒GMO-PGは、事故対応として2億7000万円の特別損失⇒2億7000万円のうち保険金（すべてがｻｲﾊﾞｰ保険によるものかは不明）の支払で1億6000万円を充当⇒最終的に損失額を1億円あまりまでに圧縮

引用：サイバー攻撃保険：商品内容が充実、中小企業でも視野に入れるべき
http://itpro.nikkeibp.co.jp/atclact/active/16/101400115/060600011/?ST=successsmart

23

内部統制による対応（リスクの低減）■相互牽制
内部統制ｼｽﾃﾑのひとつ。内部における不祥事を防止。
特定の従業員への権限集中（起案、承認を一人で行わせない）や、広範囲な裁量の付与を避けることが目的。
内部者による情報持ち出し、職務を越えた個人情報への不正ｱｸｾｽなどの事故を未然に防ぐ。
例)ﾛｰﾃｰｼｮﾝ人事、内部通報ｼｽﾃﾑ■内部統制の限界
・相互牽制するはず者同士の結託（共謀）・担当者の不注意・ミス・経営者自身の不正⇒防ぎきれない（教育や罰則などが必要）
引用：ASCII.jpデジタル用語辞典
システム監査人の日記 （http://it-audit.hatenablog.jp/entry/2017/06/02/000000）

24

４．H28年度の情報ｾｷｭﾘﾃｨｲﾝｼﾃﾞﾝﾄ統計25

H28年度情報セキュリティインシデント(IT障害）

画面表示のみ26

H28年度情報セキュリティインシデント(IT障害）

画面表示のみ27H28年度 情報セキュリティインシデント（情報漏えい）

画面表示のみ28H28年度 情報セキュリティインシデント（情報漏えい）

画面表示のみ29データの一部を加工して外部に公開する場合に注意！
＜非公開部分のフォント色を白字にしたケース＞＜非公開部分のセル背景色を黒塗りしたケース＞＜非公開部分の上に黒い四角を乗せたケース＞＜非公開部分の列幅をゼロにしたケース＞＜Excelのシートが隠れていたケース＞

30

非開示情報が残った状態で公開されている場合があります◆PDFファイルからデータが読み取られる事例◆ExcelやWord形式のまま公開⇒Officeソフトは大多数の人が利用しているため、フォントや背景色の変更、黒四角乗せ、列幅調整、は誰でも簡単に元に戻せてしまう。
◆PDF化したファイルを公開⇒PDF化するソフトによっては、テキスト情報を含んだままPDFファイルになってしまう。

テキストをドラッグ・コピーしてメモ帳などに貼り付けると、隠したつもりの情報が丸見えに。

◎外部へ電子ファイルを公開等する場合⇒内部で普段から使用しているファイルを利用する場合、非開示情報が残らないような方法で適切に加工する。もしくは、非開示情報を抜き取った内容で新規ファイルを作り直す。
さらに、公開前にも入念な確認作業を行うことが欠かせない。

※ホームページに、非開示情報が残ったままで掲載すると、検索エンジンにテキスト情報を収集される場合があります。
この場合、ホームページ上から当該情報を削除しても、検索エンジンでは情報が検索できてしまう状況となります。
⇒検索サイトに、非開示情報を削除してもらうよう依頼する必要があります。

31メールアドレスの漏えいにご注意■To，Ccに、非公開のメールアドレスを指定してしまい、他者に漏えい・民間企業や地方公共団体など、業種を問わず当該事案が頻繁に発生している・原因は、 To，Cc，Bccの仕様の理解不足、確認ミスによるもの■To，Cc，Bccの仕様を再確認000
To（宛先），Cc
受信者全員に表示される
Bcc
受信者の誰にも表示されない

32メールプログラムによっては、BCCが表示されない■Bccを表示させるには、操作が必要な場合があります33ハインリッヒの法則

29300
出典：Wikipedia「ハインリッヒの法「小さな事故は大事故の予兆」である。大事故の予兆としてすぐに対策を講じる必要があ則」
る。
事故はある一定の割合で起こる「確率現象」である。
出典：畑村洋太郎「失敗学実践講義」・「図解雑学失敗学」

34

セキュリティインシデントに対応するために・ パソコンを利用していて、何か違和感を感じたらすぐに情報システム部門に連絡して相談を・ セキュリティ対策システムの導入や、情報システム部門の努力だけでは守りきれない・ 利用者（一般職員）が、セキュリティ意識の向上と業務の工夫を図ることで、より一層強化
当事者の責任を追及することは簡単ですが、組織としては、徹底した原因の調査と、同じような事象を発生させないような、体制作りのほうが重要35

４．不審メールの動向と対策

36

不審メールの分類◆標的型攻撃メール、ばらまき型メールの違い

標的型攻撃メール

ばらまき型メール
ID/パスワード、バンキング情報、キーロガー

攻撃目的

機密情報の窃取

クレジットカード番号情報、不正送金
ランサムウェア感染（身代金要求、業務妨害）

攻撃者

スパイ、諜報活動機関

クラッカー、ハッカー

攻撃対象

官公庁、民間企業 等

不特定（法人、個人）

周到な準備と段階を踏み長期間に渡り攻撃を継続

一時的に不特定多数（総当り的）

攻撃パターン

Bebloh/URLzone、Ursnif/Dreambot

マルウェア

Emdivi、PlugX

事例

日本年金機構長野県上田市
JTB

WannaCry、NotPetya、Locky、Cerber

実在する企業になりすましたメール（Apple、Amazon、楽天市場、楽天カード、日本郵便、ゆうちょ、クロネコヤマト、
NTT-X Store、LINE）
37

最近のばらまき型メールの傾向
・不自然な日本語
・差出人の連絡先なし
・長いファイル名（二重拡張子）
・zipに、*.pdf.js、*.xls.js を含む・請求書、発注、納期に関する内容
・差出人の連絡先がある場合も・添付ファイル名が日本語の場合も・xlsや、docにマクロを仕込んでいる・リンクからダウンロードさせる
添付ファイルの種類
関連する内容小計
zip doc/docx xls/xlsx リンク
写真 請求書 発注 宅配便 その他
32130 18
1140036月
00160 160
110147月
20608141028月
00628050219月
0057 1201200010月
52419 622461310
計
8.06% 3.22% 66.1% 14.5%
3.22% 74.2% 1.61% 4.83% 16.1%
月

参考：日本サイバー犯罪対策センター（JC3）「インターネットバンキングマルウェアに感染させるウイルス付メールに注意」を基に集計

https://www.jc3.or.jp/topics/virusmail.html

添付されたファイルの例①

安全であるか分からないファイルは、「コンテンツの有効化」ボタンを絶対にクリックしないでください。

39

添付されたファイルの例②

実在する企業の場合もありますので絶対に連絡しないでください。

※親切心で連絡しないこと。
クレームの電話もNGです。

40

日々、マルウェアは産み出されています■１日に発見されるマルウェア、どれぐらい？

３５万

1秒間当たり４件

不審メールを見分けるチェックリスト
差出人アドレス□

差出人アドレスと、メール件名、本文の内容が合わない

宛先アドレス□□□

請求書や発注、納品の内容なのに、宛先に知らないアドレスが複数ある
請求、発注、支払いなど金額が記載されたメール（請求書、注文書、管理費）
IDやパスワードの入力を要求するメール（AppleID、金融機関、ｵﾝﾗｲﾝｼｮｯﾋﾟﾝｸﾞ）

件名□

心当たりがない予約確認、配送通知、請求（ヤマト運輸、Amazon）□

知らない人からだが開かざるを得ない内容（業務に関する依頼、クレーム）□

心当たりがないが興味をそそられる内容（写真や画像ファイル）□

文中のリンクをクリックしたら、ファイルがダウンロードされた□

文中に名前や商品の記載がない又は他人の名前が記載されている□

文字化けして読めない（&#12362;&#19990;・・・・記号と数字の羅列）□

実在する名称を一部に含むURLが記載されている□

表示されているURLと実際のリンク先が異なる（HTMLメールの場合）□

署名や送信元の連絡先（会社、電話番号）情報が全く記載がない□

日本語の言い回しが不自然（「こんにちは！」で始まる金融機関からのメール）□□添付ファイルが二重拡張子（.pdf.zip .doc.zip .xls.zip .jpg.zip）
含まれるファイルが二重拡張子（.pdf.js .doc.vbs .xls.wsf）□

WordやExcel、PDFにも仕込まれている可能性があるので注意□

偽装されているアイコン（実行ファイルなのに、文書ファイルのアイコン）□□

ファイル名の日付の順番がおかしい（日_月_年などの順番：26_10_2017）
添付ファイル名にランダムな数字や16進数（0-9A-F）の文字列が含まれる

本文添付ファイル

出典： IPAテクニカルウォッチ「標的型攻撃メールの例と見分け方」（2015/9/10）
https://www.ipa.go.jp/files/000043331.pdf

５．ランサムウェアの事例

43

最近発生しているランサムウェアの事例
ランサムウェアの特徴
目的感染したパソコンに保存されたファイルを暗号化したり、画面をロックしたりして、解除と引換えに金銭を要求

対象

不特定多数

ばらまき型メール（添付ファイルの実行）
攻撃
偽のアップデートプログラムに偽装してダウンロードに誘導
パターン
ワーム感染型（ネットワークに接続しているだけで感染）
感染源

改ざんされたウェブサイトからのダウンロード（広告画像や偽ﾌﾟﾛｸﾞﾗﾑに偽装）メールの添付ファイルを実行

被害

オフィスドキュメント（Word/Excel/PowerPoint/Access）、圧縮ファイル、音楽データ、画像データなどを暗号化※ファイルサーバ上のデータも暗号化 ⇒ 甚大な被害となる可能性

技術

WannaCryやNotPetyaに見られるような、Windowsの脆弱性をついた
ワーム感染型のランサムウェア
Adobe Flash Playerの脆弱性を悪用したドライブ・バイ・ダウンロード攻撃（ウェブ閲覧だけでマルウェアがダウンロードされ感染）は、減少傾向
44

世間を騒がせたWannaCry(5/12～16)◆MS17-010（SMBv1）脆弱性を悪用（３月修正パッチ）◆日本では、インターネットに接続しただけで感染した事例
が確認（メール開封など無し）

画面表示のみ45

世間を騒がせたWannaCry(5/12～16)

46

WannaCryの亜種(6/16～6/20)◆マクドナルドの店舗システムが、WannaCryの亜種に感染
ワームが感染を広げるために大量のパケットを送出し、ネットワークが障害、暗号化は起動せず（6/16～6/21）⇒電子マネーやポイントサービスが利用できなくなる◆ホンダ狭山工場、WannaCry亜種に感染（6/18～6/20）⇒19日操業停止、1,000台分の生産に影響◆いずれも、感染経路は不明
47

６．普段からの心構え（まとめ）48

普段からの心構え➢ 不審メールには要注意➢ 違和感を覚えたら、すぐに情報部門に相談➢ 自分を過信しない（「自分だけは大丈夫」と思わない）➢ うっかりミスが、ちょっとした誤操作が大きな事故に➢ 個人情報を扱っているというセキュリティ意識を➢ 平時から事件、事故が発生した時の想定をセキュリティ事故は、早期対応が求められます。
1人で悩まず、とにかく周りに相談しましょう！
49

本日の研修内容が、みなさんの業務の一助となれば幸いです。

おわり

参考情報
IT利用の不正対策マニュアル：人はなぜ内部不正を行うのか？ (1/3)
http://www.itmedia.co.jp/enterprise/articles/1006/15/news005.html

IT利用の不正対策マニュアル：不正行為をさせない「倫理観」と「人材育成」 (1/3)
http://www.itmedia.co.jp/enterprise/articles/1006/15/news009.html
IT利用の不正対策マニュアル：内部不正行為を防ぐための10カ条 (1/2)
http://www.itmedia.co.jp/enterprise/articles/1008/10/news002.html
こんなときどうする！？あやしいメール添付ファイルやURLリンクを開いてしまった際の対処法
https://is702.jp/special/2223/
文書ファイルを悪用したフィッシング詐欺の手口に関する注意点 – IPA 独立行政法人 情報処理推進機
構
https://www.ipa.go.jp/files/000062173.pdf
セキュリティ対応組織(SOC/CSIRT)強化に向けたサイバーセキュリティ情報共有の「5W1H」
http://isog-j.org/output/2017/5W1H-Cyber_Threat_Information_Sharing_v1.0.pdf