2018年上半期　診断結果にみる情報セキュリティの現状(1)
Webアプリケーション診断

【金融・保険業】

―金融・保険業はセキュリティレベルが高い印象がありますが、実際はどうでしょうか。

大塚　はい。金融・保険業に関しては、セキュリティレベルが比較的高い傾向がみられました。
たとえば、「入出力制御」に関する項目では、業種を超えた全体的な傾向としては、早急に対応が望まれる「高」リスクレベル以上の脆弱性が、多く検出されていますが、金融・保険業では、概ね対応がなされています。

しかし、比較的堅牢な金融・保険業のシステムであっても、毎回100点の診断結果が得られるわけではありません。DoS/DDoS攻撃といったサービス運用妨害や情報漏洩、アクセス制限回避等の被害につながる脆弱性が検出されることもあります。ただ、金融・保険業では、多くの組織で対応が早いのが特長で、最初の診断で脆弱性が検出されたとしても、再診断を行う際には、少なくとも「中」リスクレベル以上の脆弱性への対処が完了しています。

―他業種に比べて、検出された脆弱性への対応が早いのはなぜでしょう。

大塚　金融庁の安全対策基準やクレジットカード業界におけるセキュリティ基準であるPCI DSS等に準拠している、または準拠しようとしているシステムが多いことが理由の1つにあると思います。こうした基準に準拠していない場合、サービスの運用・継続自体ができなくなったり、インシデントが発生した際の責任や罰が重くなる可能性があるため、コンプライアンス面を最重要視して取り組む組織が少なくありません。

システムごとの脆弱性の検出割合をみると、2017年の上半期に全システムの96%で何らかの脆弱性が検出されていたのが、2017年下半期にはその割合が74.2%に減少し、さらに今期は70.5%と継続して減少しています。金融・保険業全体としてセキュリティ意識が高まっている表れと言えます。金融・保険業は、セキュリティ事故が起きた場合、影響力・影響範囲が非常に大きいですから、経済産業省や金融庁などから出されるガイドラインを参考に、より一層、攻撃に対して堅牢なシステムを構築・維持することが求められます。

【製造業】

―では、製造業の方はいかがでしょうか。

大塚　入出力制御に関する項目のレーダーチャート値が、全業種の平均値より低い結果となりました。これは、早急な対応が望まれる「高」リスク以上の脆弱性の検出割合が多いためで、とくに、当社で定めるリスクレベルとしては深刻度で上から2番目である「重大」レベルの脆弱性が多く検出されました。入出力制御における脆弱性の75％が「重大」レベルだったのです。

たとえば、クロスサイトスクリプティングやHTMLタグインジェクションといった脆弱性がその代表例です。これらは、悪用された場合に任意のプログラム実行、悪質なページへの誘導、コンテンツの改ざんといった影響を受ける可能性があるため、適切な対応が求められます。

また、そのほかの傾向としては、システム情報・ポリシーに関する項目の検出数の割合が多く、サポートが終了、あるいは、既知の脆弱性が存在するバージョンのOSやアプリケーションなどの使用、あるいは使用の可能性も含め、検出されています。これらを放置していると、攻撃に対して脆弱な状態となってしまうため、最新バージョンへのアップデートや、セキュリティパッチの適用が求められます。

―今日の製造業の制御系システムは、安全性が低下しているという論調が盛んですが、いかがでしょうか。

大塚　従来、製造業の制御系システムは、インターネットに接続されていない閉鎖系システムであるために安全とされてきました。しかし最近では、攻撃を受けやすい環境に変わりつつあります。制御系システム機器に汎用OSを使用する、通信プロトコルに標準プロトコルを採用するといった動きが進む一方で、製造業はセキュリティ要素の中でも可用性に重きを置く傾向があり、なかなかOSの更新・パッチ適用がしにくいのです。たとえば、パッチを当てるにしても、操業を計画的に停止する必要があります。

この1年ほどの間に国内で起こったセキュリティインシデントの中から、製造業に関連する事案をまとめてみたのですが、セキュリティパッチの適用が遅れてWebサーバの脆弱性を突かれることで、顧客情報の流出が起きたり、工場の生産停止にまで追い込まれたりするケースもありました。

製造業においては、生産に直接関係のあるシステムが停止した場合、多大な損害につながる危険性があります。大規模な工場では損害が数億、数十億の単位になるかもしれません。海外では、すでに、データ消去や石油プラントの操業停止などの被害が起こっています。

また、情報漏洩に関しては、顧客情報だけでなく、営業秘密にも留意する必要があるでしょう。たとえば、新しく開発される商品に関する情報などが、ライバル企業に漏れ、先に開発・販売されてしまった場合、市場における優位性や競争力が損われる可能性があります。海外の製造拠点が感染源となり、被害が数ヶ国にまたがるというのは、決して珍しいことではありません。

―もはや、制御系といっても安心できないのですね。
大塚様、どうもありがとうございました。
SQAT® SECURITY REPORTには、Webアプリケーション診断結果の詳細、業界別の診断結果レーダーチャートのほか、さまざまなセキュリティトピックが掲載されています。本レポートは、[SQAT® SECURITY REPORT]よりダウンロードいただけます。

＊SQAT® SECURITY REPORTでは、計14業種のレーダーチャートを紹介しています。ぜひ、ご覧ください。