事故から学ぶ
2023/11/10
クラウド請求書「INVOY」、システムテストが甘く利用者情報が漏洩
事故概要
| 業種 | ITサービス |
| 発生時期 | 2023/8-2023/11/9 |
| 漏えい人数 | 未発表 |
| 事故概要 | 与信関連サービスを展開するOLTAは、クラウド請求書プラットフォーム「INVOY」で利用者情報が流出した。 ■事故の概要 |
| 引用元 | Security Next |
■ 事故原因
事故の原因はチェックリストの下記項目が該当すると推察します。
■原因：
8月7日に実施したアップデートに不備があった。
本番環境適用前のテストが甘く漏えいするほど不十分だった。
10月にユーザから通報があったが内容把握ができず放置していた。
チェックリストにある要求ルール：
本番リリース前テストは、単一ユーザの動作確認以外に、漏えい防止を視点にしてネットワークテストを行うこと
■ 推奨対策
対策：
■対策
いまのシステムはネット越しに複数ユーザがログインして操作するため、本番リリース前テストは、単一ユーザの動作確認だけでは漏えい防止策としては不十分である。この警鐘は20年以上前から言われている重要なファクターであるが、守れない社風の改善が必要である。
具体例：
今後注意します、で終わらせることなく、動作確認より高いレベルで情報漏えい防止確認テストを行う仕組みを取り入れること。
タグ
ご入会のお手続きはこちら
会費のお支払い方法は、クレジットカード払いと口座振替の2種類お選びいただけます。 （会費のお支払方法により、入会手続きが異なります。） 詳しくは、「ご入会の流れについて」をご確認ください。
