セキュリティエンジニアが気になったニュースまとめ　2024/1/1～2024/1/7　

最近話題になったセキュリティ関連のニュースから、気になるものをピックアップしてお届けします。 

2024/1/1

IT システムにおける緊急時対応計画ガイド

https://www.ipa.go.jp/security/reports/oversea/nist/ug65p90000019cp4-att/000025327.pdf

NIST Special Publication 800-34『ITシステムのための緊急時対応計画ガイド（Contingency　Planning Guide for Information Technology (IT) Systems）』では、政府機関におけるIT緊急時対応計画の手順、推奨事項、考慮事項について説明する。緊急時対応計画とは、緊急事態またはシステム中断があった場合にITサービスを復旧させるための暫定的な措置のことである。暫定的措置には、ITシステムおよび運用の別のサイトへの再配置、代替機器の利用によるIT機能の復旧、手動によるIT機能の実行などが含まれる。
ITシステムには、軽度（短時間の停電、ディスクドライブ障害など）から、重度（装置損壊、火災など）まで、自然災害からテロ行為に至る様々な脅威が存在する。そしてITシステムは、それらの脅威に対して脆弱である。多くの脆弱性は、技術的管理や、組織のリスクマネジメント業務の一環としての運用ソリューションによって最小化できるが、すべてのリスクをなくすことは事実上不可能である。
多くの場合、重要なリソースが組織の統制がおよばないところに存在する場合（電力や通信など）、組織はその可用性を保証することはできない。したがって、システムおよびサービスの可用性低下リスクを低減するには、効果的な緊急時対応計画、実施、テストが不可欠である。また、緊急時対応計画を実効性のあるものにするために、連邦政府の管理部門は次の点を考慮する必要がある。

令和6年1月1日に発生した石川県能登半島地震により亡くなられた方々に深く哀悼の意を表するとともに、被災された皆様に心よりお見舞い申し上げます。
この記事を選んだきっかけは元旦の大地震が発生したときに、「災害時のセキュリティ対策はどうすればよいのだろう？」と思ったからです。量も多く英文を和訳しているため、少し読みにくいですが、自分自身に何ができるのか知るヒントになると思います。

2024/1/1

長期休暇における情報セキュリティ対策

https://www.ipa.go.jp/security/anshin/measures/vacation.html

長期休暇の時期は、システム管理者が長期間不在になる等、いつもとは違う状況になりがちです。
このような状況でセキュリティインシデントが発生した場合は、対応に遅れが生じたり、想定していなかった事象へと発展したりすることにより、思わぬ被害が発生したり、長期休暇後の業務継続に影響が及ぶ可能性があります。

管理者向け、利用者向け、個人とそれぞれの立場に沿った長期休暇前後、休暇中におけるセキュリティ対策が示されています。自分自身も含めて、気が緩みやすい時期には、特に基本的なことを気を付けたいと思います。

2024/1/４

「ミニストップオンライン」における個人情報漏洩に関するお詫びとご報告

https://www.ministop.co.jp/corporate/notice/assets/pdf/20211221_3night.pdf

平素よりミニストップをご愛顧賜りまして、誠にありがとうございます。
２０２３年１２月２１日にＥＣサイト「ミニストップオンライン」におきまして発生しました、マイページか
らの情報漏洩について、お詫びとご報告をいたしましたが、新たに、店頭受取クリスマス商品のリマインドメー
ルに記載されたＵＲＬに誤りがあったことが判明したため、２１日１９時より再度、ＥＣサイト「ミニストップ
オンライン」を一時閉鎖させていただいております。
本件につきまして、事態の詳細が判明しましたので、ご報告申し上げます。

原因は、店頭受取商品のリマインドメール配信用データを作成時の作業ミスとのことです。
ヒューマンエラーを完全に防ぐことは難しいですが、作業前に研修やマニュアルによる教育を行うこと、誰でも同じ手順で作業を完了できるようにマニュアルを整備すること、複数人の作業者がチェックをすること、などが効果的な対策の1つです。