(589)ブロックチェーン(65)ソーシャル・エンタープライズ2.0(281)VR/AR/MR/SR/xR(48)O2O・オムニチャネル(96)IT市場調査(554)DX推進を阻む現行システムの壁、その乗り越え方とは?スペシャル2020/02/26「決められない」生保の担当者がやらかした、AI導入の行き詰まり2020/02/25【マンガ解説】5分でわかるエッジコンピューティング。Lifecycle)という考え方によって、開発プロセスの設計段階からセキュリティ要件を組込み、機能チェックだけでなくセキュリティ要件をクリアしない製品をリリースさせない方針をとっている。セキュリティバイデザインの重要性はいまさら述べるまでもないが、そのことを再認識させるような出来事があった。2014年1月23日、SQLインジェクション脆弱性が原因でクレジットカード情報が漏洩した事件について、ECサイト側が開発会社を相手取り損害賠償請求の裁判を起こし、ショップ側が勝訴したという判決が出たのだ。中尾真二フリーランスライター、エディター。アスキーの書籍編集から、オライリー・ジャパンを経て、翻訳や執筆、取材などを紙、Webを問わずこなす。IT系が多いが、たまに自動車関連の媒体で執筆することもある。インターネット(とは言わなかったが)はUUCPのころから使っている。サイバー攻撃を受けたのは、開発会社が脆弱なサイトを作ったせい?あるECサイトがサイバー攻撃を受け、顧客のクレジットカード情報が流出した。この事件に関して、ECサイト側が、攻撃を受けたのは開発会社が安全対策を怠ったシステムを構築したためだとして、ECサイトの受注システムを開発した会社を訴えた。SQLインジェクションの対策漏れでECサイト運営者が開発会社を提訴し勝訴した。この問題の本質とは?同ECサイトが攻撃を受けたのは2011年ごろと過去の裁判事例であるが、2014年秋にソフトウェア情報センター(SOFTIC)が主催する判例の研究会の中で取り上げられ、関係者やセキュリティ専門家もブログやSNSなどで話題にしている。裁判の詳細については、SOFTICのサイトに、判例ゼミの資料として判決文の内容が公開されている。概要を整理してみよう。システムの問題か運用の問題か判決文によると、まず原告側のECサイトは、クレジットカード会社から情報漏えいを指摘され、セキュリティベンダーに依頼して調査を行ったという。すると、同サイトにはSQLインジェクションやクロスサイトスクリプティングへの対策が施されておらず、カード情報も暗号化されていなかった。ECサイトの管理者アカウントのIDとパスワードがadmin/passwordのままだったことも指摘された。その結果、SQLインジェクションによって顧客のカード情報などが漏えいした可能性が高いという調査結果が出た。損害賠償ができるというのが原告の主張だ。これに対して被告は、システムの脆弱性(SQLi、XSS)の存在は認めるが、実際にこれらの脆弱性から情報が漏れた確証はなく、仮にSQLインジェクションなどの攻撃を受けたとしても、カード情報を管理している部分とは直結していないので、責任はないという主張だ。管理者アカウントについては、納品後ユーザーが変えるべきものだとした。この訴訟に対して東京地裁は「情報漏えいはSQLインジェクションによるものと認められる」とし、原告の訴えを認め1億円あまりの損害賠償請求に対し約2,262万円以上の支払いを被告に命じた。米イランの対立で「サイバー空間」の戦争はどうなる?2020年、東京五輪よりも注意すべきサイバー攻撃とはAI攻撃には「AI」で対抗せよ。概要と結果は以上であるが判決文をよく読むと、原告、被告いずれにも問題があったと考えられる。原告は、ECサイトを運営する側、あるいはシステムを発注する側として、システム要件やセキュリティ要件に対する知識・認識が低すぎるのではないか。Webサイトが受ける攻撃やリスクについて正しい知識を持っていれば、SQLインジェクション対策やクレジットカードなど個人情報の平文保存など、システム設計や発注時にもう少し対応の方法があったように思える。これは、運営する会社の規模や事業形態にもよる。個人商店や小規模な店舗でシステム担当者など持てない会社に、過度なセキュリティ知識やリテラシーを期待するのは酷かもしれない。カード情報の漏えい件数は数千件にも及び、判決文には「システム担当者」との記述もでてくる。この記述だけで店舗の規模や形態を予想するのは難しいが、一定規模の会社組織ならば、開発側がそのようなシステムを提案してきたら不備を指摘するくらいの知識は必要だ。セキュリティ対策への意識は、被告も同様に問題があった。ECサイトを構築する側として、SQLインジェクションやXSS対策、個人情報の暗号化などは既知の知見や情報でできる対策は怠るべきでなかった。予算を含めて提案時になにもなかったとしたら、対策意識・知識ともに低いと言わざるを得ない。仮に、要求仕様や依頼になかったとしても、最低限必要な機能として確認することはできなかったのだろうか。相手がシステムやセキュリティに詳しくない店舗ならばなおさらだ。会社情報SBクリエイティブ株式会社ビジネス+ITはソフトバンクグループのSBクリエイティブ株式会社によって運営されています。]この続きを読むを前に...「ビジネス+IT(登録無料)」にご登録いただくと、最新の関連情報が届きます。会員登録をすると、4つのプレミアム特典を受け取ることができます。今すぐ登録(無料)会員ログインビジネス+IT会員とはこの続きを読むを前に...「ビジネス+IT(登録無料)」にご登録いただくと、最新の関連情報が届きます。ビジネス+IT会員とは。