クラウドサービスも完璧なセキュリティを提供しているとは限らない

　そしてもう一つの事例は、現在進行形で私自身も中止しているものです。社労士に向けクラウドサービスを提供するエムケイシステムがランサムウェアの被害に遭っており、サービスの復旧ができていないという事象が発生しました。

　あまりいい表現ではないですが、もはやランサムウェアによる被害は日常化してしまっており、「またか」と思われるほど見慣れた光景になってしまっています。しかし本件は非常に象徴的で、クラウドサービスとして提供されているサービスがダウンし、それが復旧できるまで利用できないという点が特徴です。

　加えて、問題は取り扱っている情報にあります。本サービスは社労士を対象としたSaaSのクラウドサービスであり、社労士のその先にはさまざまな企業の人事労務データがあり、それらがクラウドサービスに登録されている形になります。そのため、本件はエムケイシステムのサービス利用者のみならず、そのサービス利用者の顧客も被害に遭っていることになります。そのため、エムケイシステムは利用者に対し、現時点では個人情報の漏えいの有無が不明ながら、個別に個人情報保護委員会に報告するとともに、利用者の顧客へ個別に報告することを指示しています。

　クラウドサービス提供事業者といえども、われわれと同様「企業」でありますので、ランサムウェアをはじめとするサイバー攻撃と無縁ではいられません。その意味では分け隔てなく攻撃はやってくるという教訓になり得るかと思いますが、クラウドサービスを利用する際、自社の顧客の情報もクラウドに保存するようなサービスにおいては、万が一にもこういった被害を受けた場合、どの程度の影響があるかを事前にまとめておかねばならないというのが教訓になると思います。特に、マイナンバーを委託している場合など、どういう作業が必要なのか、いま一度チェックをしておくべきでしょう。

　その意味で、エムケイシステムの事例は多くの学びを得られると思います。今後報告が上がってくると思いますが、いま被害に遭っている各企業も徐々に対応策などが公開されつつあります。その意味では、皆さんの組織における社会保険労務士に話を聞いてみるのも良いかもしれません。

　ランサムウェア被害、マルウェアによる被害は対策が難しいというのは事実です。しかし、何もできないというわけでもないはずです。いま多くの企業が被害を報告しており、明日はわが身と考えられる企業だけがスタートラインに立てるはずです。いまではOSもセキュリティ対策が進み、マルウェアが直接"認証されていない"リクエスト経由で攻撃を受けることもめずらしくなりました。つまり、攻撃の起点はやっぱり「人」です。アップデートが提供されているのに放置する、弱いパスワードのまま利用し続ける、リスクが目の前にあるのに無視するといったことがないよう、いま起きている事象を把握しつつ、対処を進めていってください。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！