事故から学ぶ

不正アクセスによる情報流出について 三菱電機インフォメーションシステムズ株式会社

事故概要

業種 民間企業
発生時期 2021/10/8
漏えい人数 0
事故概要

三菱電機株式会社(以下、三菱電機)、三菱電機インフォメーションシステムズ株式会社(以下、MDIS)は、三菱電機が管理するネットワークが第三者から不正アクセスを受け、調査した結果、このネットワークを利用する MDIS から、同社の国内お客様に関する情報の一部が外部に流出したことを確認しましたのでお知らせします。
三菱電機は 10 月 8 日に、通常とは異なる海外からのアクセスを検知し、10 月 15 日に流出した情報を特定しました。その後の調査で、外部に流出した情報はMDIS が保有するお客様に関する情報のみであり、それ以外の情報流出は確認されておりません。また、対象となったお客様に個別にご報告した結果、お客様への影響はないとご確認いただきました。
当該アクセスを遮断するなどの対策は実施済みで、関係機関への報告も行っています。
情報セキュリティー対策の強化に取り組む中、不正アクセスによる情報流出が発生し、対象のお客様をはじめ、関係の方々に多大なるご迷惑とご心配をおかけしたことを、深くお詫び申し上げます

引用元 三菱電機インフォメーションシステムズ株式会社

■ 事故原因

事故の原因はチェックリストの下記項目が該当すると推察します。

(第20条)安全管理措置 システム管理(不正アクセス防止)

チェックリストにある要求ルール:

システムに対する脅威や攻撃への防止策と監視体制を構築し、直ちに対抗策を構築していますか?
自社のシステムに対する新たな脅威や攻撃の手口を知り対策を社内共有し、対策行動の適格性と検証をする仕組みはできていますか?
常にOSや、アプリケーションソフトウェアを最新化して安全な状態にしていますか?
メールを介したウイルス感染防止として操作者教育と管理を徹底していますか
パソコンにウイルス対策ソフトを入れていますか?さらにウイルス定義ファイル(コンピュータウイルスを検出するためのデータベースファイル「パターンファイル」とも呼ばれる)を自動更新するなど、パソコンをウイルスから守るための対策を行っていますか?
ログインIDにメールアドレス以外のIDを用意していますか?
ログイン時に2段階認証、2要素認証が可能な場合は設定していますか?
システム開発のテスト環境でウイルスチェックや不正侵入を防ぐセキュリティが甘くなっていませんか?
委託先にもまったく同じレベルで、個人情報の取扱い規則の周知徹底と監視監督をしていますか?

■ 推奨対策

対策:

システムの脆弱性と思慮されるが、システムの運用環境は常に変化するため、昨日まで安全でも今日には漏えいする、という状況が発生する。最低でも日単位でセキュリティー動向の最新情報を把握するとともに、サーバ管理会社とも密接な連絡を取り、安全対策を最新化しておくことが必要である。

具体例:

委託先管理に含まれるのがクラウドサービスである。
クラウトサービス利用時に注意書きを最後まできちんと読むことなく利用を開始したため、想定外の情報共有や公開の設定をしてしまうことがある。
不慣れで引き起こした漏えい事故でも個人情報漏えいに変わりはない。利用前に口コミサイトなどで先人のミスや注意を他山の石として取り込むことである。

ご入会のお手続きはこちら

会費のお支払い方法は、クレジットカード払いと口座振替の2種類お選びいただけます。 (会費のお支払方法により、入会手続きが異なります。) 詳しくは、「ご入会の流れについて」をご確認ください。