サイバーセキュリティ政策、公開データに関する警告から産業標準案へと展開

動向

2件の公式発表は、日本がサイバーセキュリティ上の問題に異なる段階で対処していることを示しています。一方は、改訂された産業向け指針について組織に意見を求めるもので、もう一方は、すでに流出した可能性のあるデータについて個人に注意を促すものです。

1. 経済産業省、CPSFバージョン1.1について2か月間の意見募集を開始

政府は、サイバー・フィジカル・セキュリティ対策フレームワークの改訂案について任意の意見募集を開始し、10月23日16:00から12月22日00:00まで意見を受け付けます。今回の改訂では、ガバナンスやサプライチェーンリスクに関する対応関係の強化など、より新しいNISTおよびISOの標準を反映するため、フレームワークの運用上のセキュリティ対策と付属文書が更新されています。経済産業省は、AIエージェントやAIを利用した攻撃も新たなリスクとして挙げていますが、それらのリスクに対応する本格的な変更は今後の改訂段階で行うとしています。したがって、この文書は提案段階のものであり、拘束力のある標準でも最終版の標準でもありません。(意見募集を開く、公式の改訂概要を読む)

2. デジタル庁、過去の問い合わせフォームのデータが流出した可能性を警告

デジタル庁によると、Studioから同社のクラウド環境への不正アクセスについて報告があり、データが外部から取得された可能性が生じています。影響を受けた可能性のある記録には、2021年5月から2023年3月までに入力された複数の種類の一般からの問い合わせおよびイベント申込情報に加え、同庁または委託先のStudioアカウント35件が含まれます。同庁は実際の影響範囲を引き続き確認していたため、公表された最大件数を流出が確認された総数と解釈すべきではありません。公表時点で二次被害は確認されていないとしたうえで、不審なメッセージ、リンク、添付ファイル、および認証情報や支払い情報を求める要求に注意するよう呼びかけました。(デジタル庁の発表を読む)

読者と組織が押さえるべき点

この2つの動向には、それぞれ異なる対応が必要です。組織はフレームワーク案を確認し、期限までに意見を提出するかどうかを判断できます。影響を受けたサービスを通じて過去にデジタル庁へ連絡した人は、自身のデータが必ず流出したと決めつけることなく、予期しない連絡に慎重に対応する必要があります。