サイト運営者のためのWebサイトセキュリティ対策入門セキュリティ対策の専門家でないサイト運営者の皆さんにとって、Webサイトセキュリティは疑問だらけ。対策すればいいの?【1-1】Webサイトからの個人情報漏えい・流出(前編:原因と被害)Webサイトを運営する際に気をつけるべき項目の1つが、不正アクセスによる「個人情報の漏えい」です。最近では大規模な漏えい事件が発生し、大きな事件になりました。報道を記憶している方、または実際に被害の対象となった方も多いでしょう。Webサイトの責任者や運用者としてこの事件に接した方に向けて、「現実的な対策としてどう何を行えばいいのか」「対策の前提としてどういったことを考えればいいのか」を、わかりやすくまとめてみました。※個人情報漏えいの原因はいろいろありますが、この記事では最近特に問題になっている、Webサイトへの不正アクセスによる漏えいに絞って説明しています。個人の特定につながる情報、「クレジットカードの番号・パスワード・名義」など決済に関する情報を取り扱っているWebサイトは、漏えいに対する注意が必要と言えます。「個人情報の保護に関する法律」では、個人情報の定義を以下のように定めています。「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。アクセス行為の禁止等に関する法律」により、不正アクセスは法律でも禁止されています。~なぜ個人情報流出事故は発生するの?~漏えいする大きな理由は「個人情報がお金になるから」。個人情報自体を売買したり、不正入手した決済情報を使って換金する犯罪者がいます。それ以外にも興味本位でWebサイトを攻撃する人もいます(一時期、ハッカー集団といったものがマスコミをにぎわしていましたが...)。最近では、利益を目的とした攻撃、つまり前者が急激に増加していると考えられています。インターネット上のビジネスが隆盛の一途をたどる中、残念ながらこういった活動をする人たちは今後も後を絶たないでしょう。うわさ話のレベルですが、ある発展途上国では不正アクセスは法律で禁止されておらず、おおっぴらにビジネスになっているという話もあります。少年が漏えいした情報を元にオンラインゲームを利用して、アイテムやゲーム内通貨の売買で一家を養っている美談(?)も、まことしやかにささやかれています。結び付くことで、情報流出事故は容易に起こります。経済的動機による不正アクセスが増加し、国境を越えて行われるのに対し、各国で法律整備度合いのばらつきが大きい現状を踏まえると、不正アクセスによる個人情報漏えいは一時的なブームではなく、脆弱性が放置される限り、今後もそう簡単に無くならないものと考えた方がよさそうです。▼個人情報漏えい報告の総被害人数は落ち着きを見せている中、Webサイト/Netの不正アクセスによる被害人数は増加傾向にあります。1件当たりの流出情報数が大きいのも特徴で、さらなる被害拡大が懸念されます。~どのくらい、どんな事件が起こっているの?~最近では有名ゲームサイトからの情報漏えいが発生しましたが、過去にも不正アクセスによるWebサイトからの個人情報流出事故がたくさん発生しています。表面化されている事故は一部で、本当はもっとたくさん事故が起きているという意見もあります。「不正アクセス」の事実だけで、詳細な原因が公表されていない場合も多いですが、Webサイト上のアプリケーションに存在する脆弱性が、運営者側に発見されず放置されていたため、外部攻撃によってデータベース上の個人情報が抜き出された、というパターンが典型的なものと言えます。情報漏えいが発生したかどうかを、簡単に調べる方法は残念ながらあまり確立されていません。ログファイルからチェックする方法は比較的手軽に実施できますが、膨大なログをチェックすることになるため、常に実施するにはあまり現実的な方法ではありません。いろいろな事件のケースを調べると、事件発生後しばらくしてから判明することが多いようです。ユーザーやカード会社などから「情報が漏えいしている疑いがある」という外部からの連絡が、漏えいを認識するきっかけとなります。情報漏えい対策マニュアルや、対策となるサービスを導入していれば、社内での対応者がいち早く対応できますが、それらが用意されていない場合では、第三者機関やベンダーへの確認・対策が行われ、その結果をもって漏えい被害を受けた側がようやく確認する、ということも珍しくありません。漏えいを認識しながらも、対応に手間取るケースが後を絶たないのです。情報漏えい事件が起こると、まずWebサイトを利用しているユーザーに直接的な被害が発生する可能性が出てきます。個人を特定しうる重要な情報が第三者の手にわたって(売買される例も多いようです)、登録した覚えのないDMが届いたり、他のWebサイトで同じパスワードとIDの組み合わせを利用しているユーザーには、パスワードやIDとなるメールアドレスが漏えいすると、他のサイトで不正アクセスをされる被害も発生してしまいます。重要な決済情報であるクレジットカード番号が流出することはもちろん大問題です。それ以外の情報でも、上記のように悪用の方法は多岐にわたります。Webサイトで会員情報等を管理する場合は、予想以上の被害が発生しうることを十分に意識するべきだと言えます。被害サイトが、クレジットカード決済を利用できなくなることもクレジットカードで決済可能なECサイトでは、事件が判明すると決済サービスの利用を一時的に停止されてしまうこともあります。あるECサイトではクレジットカード決済を再開するために、いろいろなセキュリティー対策を実施することが必要になったそうですが、対策費用がかなり高額だったために実施できず、事故から数年たった現在でもクレジットカード決済は再開されていないようです。重要な決済情報であるクレジットカード番号が流出することはもちろん大問題です。それ以外の情報でも、上記のように悪用の方法は多岐にわたります。Webサイトで会員情報等を管理する場合は、予想以上の被害が発生しうることを十分に意識するべきだと言えます。本当にWebサイトから情報が漏えいしている場合は、盗難事件にあたる可能性がありますので、警察に連絡しなくてはなりません。サイバー犯罪対策課」では、電話やメールでの相談窓口が設置されています。緊急を要すると判断した場合は、110番に電話し所轄の警察署に相談しましょう。漏えいしている個人情報の内容を確認したり、その証拠(Webサーバー等のシステム)を保全したり、そもそも稼働しているWebサイトを停止するか等をすぐに決めなくてはなりません。できれば、そういった非常事態が発生した際の連絡先一覧表と意志決定プロセスを組織内でまとめて周知しておきましょう。利用者や関係者、マスコミへの案内Webサイトのユーザーや取引先の企業に対していち早く連絡することが大切です。事件の発生からその後の対処経過も含めてWebサイトにて公表するとユーザーの不安も軽減できます。第一に考えるべきはユーザーへの影響です。これを防ぐために迅速な対応を心がけましょう。情報処理推進機構(IPA)では、「情報漏えい発生時の対応ポイント集」と題した情報漏えい時に行うべき対応をまとめた資料をPDFファイルで発表しています。念のため確認しておきましょう。過去に何度も報道されていますので、皆さんもご存じだとは思いますが、情報漏えい事件が発生すると、被害ユーザーに対して補償や損害賠償をすることがあります。金額の多寡はまちまちですが、漏えいしたしまった情報の内容によっては、非常に高額になる事例もあります。一人1万円×10000人=1億円ユーザーへの補償額・賠償額だけでなく、それに付随する対応のために、専門家への報酬や手続き費用など、まとまった金額が必要となることが一般的です。人材面での損害ユーザーへの被害や対応、また金銭的な被害の陰に見過ごされがちですが、事故が発生すると、事後対応に苦慮し、組織がとても疲弊してしまう例が多いのです。その結果、問題の解決にあたったキーマンが会社を辞めてしまう例も少なくないようです。お金の問題も大切ですが、それ以上に、優秀な人材が疲弊し会社を去ってしまう、人的被害も小さくありません。一人に漏えいに関する対応を任せてしまい、その一人が職を辞したら、社内には情報漏えい対策のノウハウは残りません。組織で対応したとしても、降ってわいた情報漏えい対応に忙殺され、中小企業では企業ドメインの縮小に発展することも珍しくはありません。情報漏えいを未然に防ぐための対策は、企業規模によっては会社自体を守ることにも直結するのです。ネットに残り続ける風評そして、個人情報の流出がその後の事業にじわじわと影響を与え続けるのが、長期間にわたる風評です。事故発生後の的確な対応や、追加したセキュリティー対策によりユーザーの信頼を速やかに回復できる場合もありますが、一般的には、既存のユーザーが離れてしまうだけでなく、新規のユーザーも警戒してしまうなど、数年にわたり売上や利益に影響することが多いようです。ネットでの情報はなかなか消えないため、ECショップの名前で検索すると、漏えいに関するニュースが検索結果の上位に表示される、などということも考えられます。~誰の責任なの?~情報漏えいの責任については、状況によっては、漏えいした本人やWebサイト制作者にもあるのではないかという意見もありますが、いままでの判例等をみると、やはり企業側に損害賠償等の責任を求めることが多いようです。ECサイトに限らず、Webサイトを運営する企業の多くは、外部業者にプログラムの開発や運用を依頼しています。委託元であるサイト運営者自身が、Webサイトのセキュリティー上の問題を意識し、委託先業者と情報を共有してしっかりと管理しましょう。