情報セキュリティ強化等に向けた組織・業務改革

情報セキュリティ強化等に向けた組織・業務改革
―日本年金機構への不正アクセスによる情報流出事案を踏まえて―
平成 27 年 9 月 18 日
厚生労働省
目
次
第１ 日本年金機構における情報流出事案に関する総括
＜はじめに＞
＜今回の事案についての主な反省点＞
１．情報セキュリティの重要性に関する意識の欠如
２．組織的な危機管理対応の欠如
３．組織横断的、有機的な連携の欠如
＜再発防止に向けた基本的考え方＞
第２ 今回の事案を踏まえた再発防止策
１．厚生労働省における情報セキュリティ対策の強化
(1) 組織的対策（体制強化、情報共有）
① 情報セキュリティ対策室（仮称）の設置
② CISO、CSIRT 体制の見直しについて
(2) 人的対策（意識改革、人材育成）
① 職員の意識改革
② マネジメント面の意識改革
③ 実践的な訓練の実施
④ 専門人材の確保
⑤ 教訓や知識の蓄積と継続性の確保
(3) 業務運営対策（ルールの見直し、徹底）
① 報告及び連絡体制の確立、責任の明確化
② 保有する情報を適切にリスク評価した上での情報管理の徹底
(4) 技術的対策（情報システムの強化）
① 高度な標的型攻撃を想定した入口、内部、出口のセキュリティの強化
② 情報セキュリティの運用設計の見直しと改善
③ 調達時の契約内容の見直し
２．厚生労働省と機構の関係の強化
(1) 厚生労働省の機構に対する指導監督の強化
① システムに対する監督部署の明確化
② モニタリング機能の強化
③ 業務運営上定める内規等の共有のルール化
④ 報告、連絡の徹底
⑤ 情報共有の徹底
⑥ 年金局と機構の連携の強化
(2) 年金局の体制強化
３．厚生労働省所管法人等に対する監督と情報セキュリティ対策の強化
(1) 教育訓練の実施
(2) 報告、連絡体制の確保
(3) リスク評価を踏まえた情報管理の徹底と監査（助言）の実施
第１
日本年金機構における情報流出事案に関する総括
＜はじめに＞
本年 5 月の日本年金機構（以下「機構」という。）における情報流
出事案は、「まれにみる組織的かつ執拗な（標的型）攻撃」（日本年
金 機 構 に お け る 不 正 ア ク セ ス に よ る 情 報 流 出 事 案 検 証 委 員 会（ 以 下「 検
証委員会」という。）検証報告書）が原因であるとはいえ、これに対
する備えは、機構のみならず厚生労働省においても、極めて脆弱であ
ったことを率直に認めざるを得ません。国民の共同連帯の理念に基づ
き国民の信頼を基礎として実施されるべき政府管掌年金事業において、
約 125 万 件 も の 個 人 情 報 が 流 出 し た こ と は 、 国 民 の 年 金 制 度 に 対 す る
信頼を損なうものであり、極めて遺憾です。
年金事業運営を所管する厚生労働省として、深くお詫び申し上げま
す。
今回の事案については、公表後直ちに元最高裁判所判事の甲斐中辰
夫氏を委員長とし、外部有識者で構成される独立性の高い検証委員会
を厚生労働省に設置しました。検証委員会では、機構及び厚生労働省
の組織並びに初動及び事後の対応について第三者的な立場から検証し、
原因の究明を行うとともに効果的な再発防止策について検討していた
だ き 、 8 月 21 日 に 検 証 報 告 書 が 厚 生 労 働 大 臣 に 対 し て 手 渡 さ れ 、 数 々
の厳しいご指摘を頂きました。
また、機構においても自ら調査を行い、今回の情報流出という結果
をもたらした原因について、組織の在り方に遡って徹底的に検証し、
再 発 防 止 策 を 含 む 調 査 結 果 報 告 を 8 月 20 日 に 公 表 し た と こ ろ で す 。
さらに、政府全体の情報セキュリティに関する政策及び事案対応の
司令塔を担うサイバーセキュリティ戦略本部（以下「戦略本部」とい
う 。 ） に お い て も 、 20 日 、 原 因 究 明 調 査 結 果 が 公 表 さ れ る と と も に 、
政府全体のサイバーセキュリティ体制の抜本強化を図るサイバーセキ
ュリティ戦略が 9 月 4 日に閣議決定されました。
そ の 上 で 、 9 月 11 日 に は 、 戦 略 本 部 の 本 部 長 で あ る 官 房 長 官 か ら 厚
生労働大臣に対して、本事案を踏まえた再発防止策についての勧告が
なされました。
本事案の事実関係については、これらの報告書等に記述されている
とおりであり、また本事案の根本原因として、①厚生労働省、機構と
1
もに標的型攻撃の危険性に対する意識が極めて不足しており、事前の
人的体制と技術的な対応も全く不十分であったこと、②インシデント
発生後においては、現場と幹部の間、関連する組織間に情報や危機感
の共有がなく、組織が一体として危機を克服する万全の体制になって
おらず、その結果、数少ない組織内の専門知識を持つ者の動員すらで
きず、担当者が幹部の明確な指揮を受けることもないままに、場当た
り的な対応に終始し、迅速かつ的確な対処ができなかったことが指摘
されています。
厚生労働省は、こうした指摘（報告書等の具体的な指摘事項につい
ては別紙参照）を当事者として真摯に受け止め、今回の事案を以下の
通り総括し、国民の信頼を回復するため、後述する再発防止策に全力
で取り組んでまいります。
また、検証委員会の検証報告書が、同委員会への情報提供の遅延等
に関連して機構に対して強く促している「徹底的な意識改革」につい
ては、厚生労働省自らに対しても指摘されたものと捉え、同様に行っ
ていかねばならないと認識し、深く反省する次第です。
＜今回の事案についての主な反省点＞
今回の事案についての厚生労働省としての主な反省点は以下の三点
と考えます。
１．情報セキュリティの重要性に関する意識の欠如
厚 生 労 働 省 に お い て は 、ほ ぼ 全 て の 職 員 が イ ン タ ー ネ ッ ト を 始 め
とする情報システムを利用して業務を行っていますが、厚生労働省
は国民生活に密接に関わる行政を担当しており、本省やハローワー
ク な ど の 地 方 支 分 部 局 、施 設 等 機 関 及 び 所 管 す る 独 立 行 政 法 人 等（ 以
下「厚生労働省所管法人等」という。）を含め、膨大な個人情報や
機微な情報を扱っています。にもかかわらず、これまで情報セキュ
リティ対策の重要性に関する意識は省全体として希薄であり、情報
セキュリティ対策を直接担う職員は、専門的知識、人数いずれの面
でも極めて不足しているなど、事前の技術的な対応と人的体制の備
えがいずれも不十分でした。また、情報システムや情報セキュリテ
ィ に 関 す る 機 能 が 、情 報 政 策 担 当 参 事 官 室（ 以 下「 情 参 室 」と い う 。）、
統計情報部、そして厚生労働省所管法人等の所管課室と分散してい
る中で、適切な情報共有が行われませんでした。
2
ま た 、CSIRT 体 制 も 即 応 性 及 び 専 門 性 は 十 分 で は な く 、緊 急 即 応 チ
ー ム と い う CSIRT の 本 来 の 機 能 か ら す れ ば 形 式 的 な も の で し た 。
機構についても、国民の重要な個人情報を大量に扱う組織であり
ながら、長期間にわたり個人情報をインターネットの影響下でリス
クに晒された状況に置いていたなど、情報セキュリティに関する意
識が極めて低かったことが指摘されていますが、その背景には機構
を監督する厚生労働省自身の長きにわたっての意識の欠如があり、
これが個人情報の流出につながった大きな要因と考えます。
２．組織的な危機管理対応の欠如
厚生労働省では、１．に記載したように情報セキュリティの重要
性に関する意識が欠如し、事前の備えが不十分な中で、事案の発生
後、「事案が収束してから書面で上司に報告する」、「自分は単な
る窓口」、「他の部署が報告しているだろう」といった認識などか
ら、職員間、上司と部下の間、あるいは関係する組織間で情報や危
機感が適時に共有されず、組織が一体として危機に当たることがで
き ま せ ん で し た 。そ の 結 果 、5 月 8 日 以 降 、機 構 が 累 次 の 攻 撃 を 受 け 、
セキュリティソフトの更新や拠点ごとのインターネットの遮断、警
察への相談などを行っている最中に、厚生労働省は一部の担当者を
除 き 、ま っ た く 事 態 の 進 行 を 把 握 で き ず 、漫 然 と 犯 行 を 許 す と い う 、
国民生活のセーフティネットを担う官庁としてはあってはならない
状況を数週間にわたって続けることとなりました。
厚生労働省は「ひと、くらし、しごと」という一人ひとりの国民
の生命、健康、生活に密接に関わる行政を担当しています。情報セ
キュリティに限らず、何か問題が生じた場合には、組織として情報
を必要な関係者間で適時、的確に共有し、迅速に対応していかなけ
ればなりません。過去の薬害事件などにおいても、厚生労働省が被
害の発生や拡大を防止できなかった原因として、情報に基づく迅速
な対応が行われなかったことが指摘されています。「悪い知らせこ
そ早く報告する」ことが危機管理対応の基本ですが、こうした基本
的な対応ができず、今回のような事態に至ったことについては、誠
に恥ずべきことであり、省全体として痛切に反省しなければなりま
せん。
このことは決して担当者レベルのみの責任ではなく、危機に際し
ては「途中の状況」であっても「悪い知らせ」が速やかに組織の上
3
層部に届き、上司がしっかり受け止め率先して対応に当たることが
できる職場環境が醸成できていないという意味において、厚生労働
省幹部に責任があると言わざるを得ません。
また、情報セキュリティに限らず、一たび生じれば国民生活に重
大な影響を及ぼす可能性のある事象については、事前の万全の備え
が重要ですが、今回の事案が発生するまで業務運営におけるリスク
の 所 在 や 評 価 等 に つ い て 組 織 的 に 把 握 、認 識 さ れ て い ま せ ん で し た 。
このことを踏まえれば、自らの組織が取り扱っている情報の重要
性や業務運営面で様々に生じ得るリスクを日頃から正しく認識し、
どのような事象に関してはどのような意思決定メカニズムで臨み、
あるいは、権限を特定部署等に集中してどう備えるべきかを、幹部
から現場職員一人ひとりに至るまで組織として事前に的確に定め、
共有し、そのために必要な予算、人員等のリソースを確保、配分し
ていくための取組を、特に幹部職員を中心に行っていく必要があり
ます。
３．組織横断的、有機的な連携の欠如
(1)
4 月 22 日 の 標 的 型 攻 撃 に つ い て の 厚 生 労 働 省 の 対 応
検 証 委 員 会 は 、同 委 員 会 が 、5 月 8 日 以 降 の 機 構 へ の 標 的 型 攻 撃
の 「 予 兆 」と 指 摘 す る 4 月 22 日 の 厚 生 労 働 省 へ の 標 的 型 攻 撃 に つ
いての厚生労働省の対応に関し、②で引用する 2 つの問題を指摘
しています。
こ の 問 題 を 考 え る 上 で 、 4 月 22 日 の 攻 撃 に 対 す る 厚 生 労 働 省 の
対応について、これまで職員から確認した事実関係は、以下のと
おりでした。
①
厚生労働省の職員から確認した事実関係
4 月 22 日 の 攻 撃 は 厚 生 労 働 省 ネ ッ ト ワ ー ク シ ス テ ム に 対 す る
攻 撃 で あ っ た た め 、統 計 情 報 部 の 担 当 者 は 所 属 長 ま で 報 告 し た 上
で 、最 高 情 報 セ キ ュ リ テ ィ 責 任 者（ CISO）で あ る 官 房 長 に 書 面 で
報告しました。
そ の 後 、 統 計 情 報 部 の 担 当 者 は 、 4 月 23 日 に 、 不 審 な 電 子 メ
ー ル 情 報 と し て 、省 内 全 職 員 に 対 し 、攻 撃 し て き た 送 信 者 の 電 子
メ ー ル ア ド レ ス 等 を 電 子 メ ー ル に よ り 注 意 喚 起 を 行 い ま し た 。ま
た 、 4 月 24 日 に は 、 情 参 室 の 担 当 者 は 、 厚 生 労 働 省 所 管 法 人 等
4
を 所 管 し て い る 部 局 の 担 当 者 に は 、電 子 メ ー ル に よ り 所 管 法 人 等
へ注意喚起することを依頼しました。
し か し な が ら 、統 計 情 報 部 か ら の 官 房 長 へ の 報 告 は 、概 要 等 を
書 面 で 届 け る に と ど ま り 、攻 撃 の 事 実 等 に つ い て 官 房 長 と 認 識 を
共有したことの確認を怠っていました。
ま た 、本 件 に 関 し て 、情 参 室 か ら の 連 絡 内 容 は 定 型 的 な 内 容 に
と ど ま っ て お り 、所 管 法 人 等 を 所 管 す る 部 局 の 担 当 者 が 実 際 に 各
所管法人等に注意喚起を行ったかどうかについても確認してお
ら ず 、年 金 局 も 、機 構 に 対 し て 何 ら 注 意 喚 起 を 行 っ て い ま せ ん で
した。
以 上 の よ う に 、厚 生 労 働 省 の 関 係 課 室 で は 、担 当 者 に 十 分 な 危
機 意 識 が な か っ た の み な ら ず 、上 司 や 他 の 部 局 の 担 当 者 へ の 報 告 、
連 絡 に 当 た り 、そ の 内 容 が 相 手 に 確 実 に 伝 わ っ た の か 、理 解 さ れ
た の か を 確 認 し て お ら ず 、組 織 と し て 危 険 性 の 認 識 が で き て い ま
せんでした。
ま た 、5 月 8 日 以 降 の 機 構 へ の 標 的 型 攻 撃 に つ い て は 、厚 生 労
働 省 の CISO に 5 月 28 日 ま で 報 告 さ れ て い ま せ ん で し た 。厚 生 労
働 省 の「 情 報 セ キ ュ リ テ ィ イ ン シ デ ン ト 対 処 手 順 書 」（ 以 下「 対
処 手 順 書 」と い う 。）で は 、厚 生 労 働 省 が 所 管 す る 特 殊 法 人（ 機
構 ）に お い て 発 生 し た 情 報 セ キ ュ リ テ ィ イ ン シ デ ン ト（ 以 下「 イ
ン シ デ ン ト 」と い う 。）は 、特 殊 法 人 を 所 管 す る 年 金 局 の 課 室 情
報 セ キ ュ リ テ ィ 責 任 者 （ 課 室 長 等 ） を 経 由 し て CISO 及 び 情 参 室
へ 報 告 す る こ と に な っ て い ま し た が 、担 当 者 か ら 課 室 長 等 へ の 報
告 が 行 わ れ ず 、 CISO に も 報 告 さ れ て い ま せ ん で し た 。
一 方 、 こ の 対 処 手 順 書 に お い て は 、 NISC か ら の 連 絡 を 受 け た
統 括 情 報 セ キ ュ リ テ ィ 責 任 者（ 情 報 政 策 担 当 参 事 官 ）は 受 け 付 け
た 事 案 を 確 認 し 、課 室 情 報 セ キ ュ リ テ ィ 責 任 者（ 年 金 局 事 業 企 画
課 長 ）に 必 要 な 連 絡 を 行 う こ と と さ れ て い ま し た が 、情 参 室 か ら
は 担 当 者 レ ベ ル で の 連 絡 は 行 わ れ た も の の 、事 案 の 重 要 性 に 鑑 み
た、迅速な情報共有は行われていませんでした。
こ れ ら の 点 で 、厚 生 労 働 省 セ キ ュ リ テ ィ ポ リ シ ー 等 に 沿 っ た 対
応がなされていませんでした。
②
検証委員会の指摘とそれに対する厚生労働省の考え方
ア
4 月 22 日 の 段 階 で ド メ イ ン 単 位 で URL ブ ロ ッ ク が 行 わ れ な か
5
ったことについて
検 証 委 員 会 の 検 証 報 告 書 で は 、 4 月 22 日 に 発 生 し た 厚 生 労 働
省 に 対 す る 標 的 型 攻 撃 は 、5 月 8 日 以 降 に 発 生 し た 機 構 に 対 す る
標 的 型 攻 撃 と 手 口 が 類 似 し て お り 、 4 月 22 日 の 段 階 で 、 厚 生 労
働 省 統 合 ネ ッ ト ワ ー ク に お い て ド メ イ ン 単 位 で URL ブ ロ ッ ク を
実 施 し て い れ ば 、5 月 8 日 に 発 生 し た 同 一 ド メ イ ン の C&C サ ー バ
に 対 す る 機 構 と の 不 正 な 通 信 は 防 ぐ こ と が で き た 、と 指 摘 し て い
ま す 。厚 生 労 働 省 は 、5 月 8 日 段 階 で 、ド メ イ ン 単 位 で URL ブ ロ
ックを実施していましたが、今般の検証委員会の指摘を踏まえ、
今 後 不 審 な 通 信 が 検 知 さ れ た 場 合 に は 、業 務 へ の 影 響 や ド メ イ ン
の種類等も勘案しつつドメイン単位でのブロックを基本とする
こ と を 、厚 生 労 働 省 セ キ ュ リ テ ィ ポ リ シ ー や 対 処 手 順 書 に お い て
明確にします。
な お 、5 月 8 日 に ド メ イ ン 単 位 で URL ブ ロ ッ ク を 実 施 し た 結 果 、
5 月 18 日 の 機 構 に 対 す る 標 的 型 メ ー ル に よ り 感 染 し た 3 台 の 端
末 か ら の 不 正 な 通 信 は い ず れ も 失 敗 し て お り 、こ れ は 、対 策 が 功
を奏したともいえます。
一 方 、厚 生 労 働 省 統 合 ネ ッ ト ワ ー ク に お い て は 、ブ ロ ッ ク し た
不 正 な 通 信 先 を 継 続 的 に 監 視 し て い な か っ た た め 、そ れ 以 上 の 対
応 を と れ ま せ ん で し た 。仮 に 、既 に ブ ロ ッ ク し た 不 正 な 通 信 先 へ
通信を行おうとする端末があるか否かを継続的に監視していれ
ば 、他 に も 感 染 し た 端 末 が あ る こ と を 、不 正 な 通 信 を 行 っ た 時 点
で 発 見 す る こ と が で き 、機 構 な ど に 注 意 喚 起 を 行 う 機 会 が あ っ た
と考えられます。
こ の 点 に つ い て も 、厚 生 労 働 省 セ キ ュ リ テ ィ ポ リ シ ー や 対 処 手
順書において改善します。
イ
厚生労働省から機構に対する情報共有が行われなかったこと
について
さ ら に 重 要 な 問 題 は 、5 月 8 日 以 降 の 機 構 に 対 す る 標 的 型 攻 撃
と 類 似 の 手 口 に よ る 4 月 22 日 の 厚 生 労 働 省 に 対 す る 標 的 型 攻 撃
に つ い て 、5 月 8 日 の 段 階 で 、厚 生 労 働 省 か ら 機 構 に 対 し て 、何
ら 情 報 提 供 が 行 わ れ ず 、こ の た め 、機 構 に お い て も 、同 日 の 攻 撃
6
が 、厚 生 労 働 省 や そ の 関 係 機 関 を 狙 っ た 一 連 の 標 的 型 攻 撃 で あ る
との着想に至らなかった、との指摘です。
① に 記 載 し た と お り 、5 月 8 日 の 事 案 で は 、省 内 幹 部 に も 情 報
共 有 が 行 わ れ ず 、省 全 体 と し て 適 時 、適 切 な 対 応 が で き ま せ ん で
し た 。情 報 共 有 が 適 切 に な さ れ て い れ ば 、厚 生 労 働 省 内 に お い て
も 、機 構 に お い て も 、4 月 22 日 の 攻 撃 と の 共 通 性 も 含 め 、5 月 8
日 の 攻 撃 に 関 す る 危 機 意 識 が 醸 成 さ れ 、そ の 後 の 対 応 が 異 な る も
の と な っ た 可 能 性 が あ っ た と い う 意 味 に お い て 、こ の 時 点 で の 厚
生労働省の対応は大きな反省点と考えます。
さ ら に い え ば 、イ ン タ ー ネ ッ ト の 普 及 に よ り 、日 頃 の 情 報 共 有
は 、素 早 く 、か つ 、幅 広 に 情 報 が 共 有 で き る 電 子 メ ー ル に よ っ て
行 う こ と が 一 般 的 に な っ て い ま す 。し か し 、本 来 、伝 え る 情 報 の
重 要 性 や 質 を 考 慮 し た 上 で 、適 切 に コ ミ ュ ニ ケ ー シ ョ ン 手 段 を 選
択 、併 用 す べ き も の で あ り 、重 大 な 事 案 や 相 手 に 行 動 を 起 こ し て
も ら う 必 要 が あ る 内 容 の 連 絡 は 、電 子 メ ー ル で の 連 絡 や 書 面 で の
投 げ 込 み と と も に 、電 話 や 対 面 で 直 接 伝 え 、ま た 、そ の 結 果 を 確
認 す る な ど の 対 応 が 求 め ら れ ま す 。こ の よ う な 、行 政 に 携 わ る 者
として基本的な動作が日頃からできていなかった点も大きな反
省点と考えます。
ま た 、厚 生 労 働 省 内 の 各 組 織 の 権 限 や 各 職 員 の 役 割 を あ ら か じ
め で き る 限 り 明 確 に し て お く こ と は も ち ろ ん 重 要 で す が 、事 前 に
定 め ら れ た 仕 事 を 確 実 に 遂 行 す る に と ど ま ら ず 、一 歩 進 ん で 、国
民 の 立 場 に 立 っ て 、相 互 の 意 思 疎 通 や 組 織 横 断 的 、有 機 的 な 連 携
を 図 り 、厚 生 労 働 省 の 組 織 全 体 と し て 、一 丸 と な っ て 対 応 し て い
く こ と が 重 要 で す が 、今 回 の 事 案 で は そ の よ う な 対 応 が で き て い
ませんでした。
こ の た め 、改 め て 、日 頃 か ら 組 織 と し て 職 員 に 対 し 報 告 、連 絡
の 仕 方 な ど 基 本 的 な 動 作 に つ い て の 指 導 を 徹 底 す る と と も に 、各
組 織 の 在 り 方 に つ い て も 、厚 生 労 働 行 政 の 課 題 や 取 り 巻 く 環 境 の
変化に応じて速やかに見直します。
(2)
厚生労働省と機構の関係
厚生労働省と機構の間でも、事案の発生後の対応について情報
共有が担当者レベルにとどまり、幹部レベルの情報共有、監督指
示 な ど が 、 事 案 発 生 か ら 17 日 後 の 5 月 25 日 の 遅 き に 失 す る タ イ
7
ミングに至るまで行われないという、あってはならない事態が生
じました。そもそも個人情報の取扱に関する日常業務の実態につ
いても、機構を指導監督する年金局の幹部を始め情報、認識の共
有は全く十分ではありませんでした。
また、機構の業務における個人情報の取扱環境やパスワード設
定等のルールの遵守状況について、年金局も事案が発生してから
問題を把握する状況でした。
6 月 1 日 に 本 事 案 を 公 表 し た 以 降 も 、 機 構 が 、 5 月 29 日 に 統 合
ネットワークを通じたインターネットへの接続を遮断した後も独
自の電子メール送受信専用外部回線の遮断を行っていなかったこ
と、また、個人情報が流出した方に対して「流出は確認されてい
ない」と誤って説明したことが機構において判明した際にも、機
構独自の対応にとどめてしまい、報道されるまで厚生労働省に報
告していなかったことなど、厚生労働省と機構との間で重大な情
報が共有されていないという、やはりあってはならない事態も生
じました。
さ ら に 、 検 証 委 員 会 か ら は 、 機 構 LAN シ ス テ ム の 担 当 部 署 が 厚
生労働省内部で不明確であった点について、「監督官庁としてあ
り得ないこと」との厳しい指摘がありました。
機構は、様々な問題があった社会保険庁を廃止し、新たに非公
務員型の公法人を設けて公的年金に関する業務を行わせることで、
提供するサービスの質の向上と業務運営の効率化を実現すること
を目的として創設されましたが、その前提は、厚生労働大臣の監
督の下に、厚生労働大臣と機構の密接な連携が確保されることで
した。機構創設の原点に立ち返り、政府管掌年金事業の適正な運
営は厚生労働省と機構が車の両輪となって共に担う、との考え方
を再確認し、厚生労働省による機構の監督や、機構との連携の在
り方について、ゼロベースで点検し、再構築していきます。
＜再発防止に向けた基本的考え方＞
厚生労働省としては、以上の反省点を踏まえ、今回のような事態を
二度と引き起こすことがないよう、年金局や機構だけではなく、厚生
労働省所管法人等も含めた厚生労働行政全体について、ガバナンスの
強化、組織内、組織間連携の強化、リスク認識の強化に努めていきま
すが、今回の事案に照らし、特に情報セキュリティ対策の観点から、
8
強化を図ります。
今回の事案の標的型攻撃は、次々と手口を変えて攻撃を継続する極
め て 執 拗 か つ 組 織 的 な も の で し た が 、情 報 技 術 は 今 後 も さ ら に 発 展 し 、
サイバー攻撃も時々刻々と巧妙化して、社会にとって大きな脅威とな
っていくと予想されます。今回の事案を、厚生労働行政に従事する全
ての職員が教訓として記憶し、緊張感を持って、各種対策について不
断に取り組んでまいります。
また、公的年金制度を所管し、機構を監督する厚生労働省と、公的
年金制度の執行を担う機構が車の両輪となって年金事業を運営してい
くべく、機構自身の自己改革の取組と併せ、厚生労働省においても、
機構との密接な連携を実現するとともに、社会保障審議会年金事業管
理部会に監視機能をこれまで以上に強力に発揮していただきながら、
機構の今回の情報流出のような事案の再発防止に向けた取組を強化す
べく、自らの体制強化も行っていきます。
このため、情報セキュリティの全省的な強化を含め、「情報セキュ
リティ強化等に向けた組織・業務改革推進本部（仮称）」を設置し、
以下のような具体的な取組を着実に実施していきます。
第２ 今回の事案を踏まえた再発防止策
検証委員会や戦略本部の報告書等の指摘や同本部長の勧告を踏まえ、
厚生労働省における情報セキュリティ対策については、①組織的、②
人的、③業務運営、④技術的な観点から、以下の再発防止策に取り組
みます。
また、年金局の体制を充実させるとともに、機構の報告書等に掲げ
られた再発防止策が着実に進むよう機構に対し指導監督を行っていき
ます。
さらに、機構以外の厚生労働省所管法人等に対する監督指導や情報
セキュリティ対策を強化します。
１．厚生労働省における情報セキュリティ対策の強化
(1)
組織的対策（体制強化、情報共有）
平 成 26 年 7 月 、 情 報 政 策 の 企 画 立 案 部 門 を 集 約 す る た め 、 統
計 情 報 部 情 報 シ ス テ ム 課 の 一 部 と 政 策 統 括 官（ 社 会 保 障 担 当 ）付
情報政策担当参事官が統合されました。
9
こ の 統 合 に よ り 、厚 生 労 働 省 の 情 報 セ キ ュ リ テ ィ 対 策 の 実 施 に
関 す る 企 画 立 案 、連 絡 調 整 、対 策 の 推 進 や 情 報 セ キ ュ リ テ ィ 事 案
に 関 す る 情 報 収 集 、対 応 に 関 す る 事 務 は 情 参 室 に 移 管 さ れ ま し た
が 、厚 生 労 働 省 の 情 報 シ ス テ ム の 整 備 及 び 管 理 に 関 す る 事 務 の 一
部 は 移 管 さ れ ず 、統 計 情 報 部 の 事 務 と し て 残 さ れ ま し た 。結 果 と
し て 、今 回 の 事 案 で も 円 滑 に 情 報 共 有 が 進 ま な か っ た 原 因 と な っ
た可能性があります。
こ の た め 、来 年 度 に 向 け て 、省 内 の 情 報 シ ス テ ム や 情 報 セ キ ュ
リ テ ィ に 関 す る 機 能 を 再 集 約 、再 編 し 、情 報 セ キ ュ リ テ ィ 対 策 に
関 す る 司 令 塔 機 能 を 強 化 し ま す 。こ う し た 機 能 の 見 直 し に 合 わ せ
た 新 た な 組 織 作 り を 検 討 す る と と も に 、併 せ て 、各 原 局 と の 分 担 、
連携の在り方についても見直します。
それまでの間は、以下の措置を速やかに講じます。
①
情報セキュリティ対策室（仮称）の設置
省内の情報政策の企画立案、調整連絡等を担当する部署とし
て情参室が置かれています。このうち情報セキュリティ対策に
関する業務は情報セキュリティ対策係が担当しており、情報セ
キュリティに関する周知啓発、厚生労働省セキュリティポリシ
ーの整備等の他、内閣サイバーセキュリティセンター（以下
「 NISC」と い う 。）と の 連 絡 窓 口 と な っ て い ま す 。人 員 体 制 は 室
長補佐以下 4 名であり、他の業務も兼務しているため、対応し
なければならない業務内容や業務量の多さに鑑みれば、専門的
知識や職員数の面からも十分な対応ができる体制とはいえませ
ん。
今回の事案では、情報システムの整備、管理担当者と情報セ
キュリティ担当者の間の情報の共有が円滑にできなかったため、
インシデント対応を含む情報セキュリティ対策の実務部門の強
化として情報セキュリティ対策室（仮称）を設置し、厚生労働
省セキュリティポリシー等のルールの整備、リスク評価、監査
（ 助 言 ）、教 育 訓 練 や イ ン シ デ ン ト 発 生 時 の 連 絡 調 整 、技 術 的 支
援 、対 処 措 置 の 指 示 等 に 係 る 業 務 を 一 体 的 に 担 う こ と と し ま す 。
特に、省内各部局、厚生労働省所管法人等から不審な電子メ
ールやサイバー攻撃等の情報を収集、集約して分析し、攻撃を
受けた個別の部署単位では伺い知ることが難しいサイバー攻撃
10
相互の関連性、攻撃の全体像や受けた攻撃がどの段階にあるの
かを把握、予測することにより、次の攻撃を想定した警戒情報
や指示を出すなど、先を読んだ対応を行います。
②
CISO、 CSIRT 体 制 の 見 直 し に つ い て
厚生労働省においては、インシデントへの対処体制として
CSIRT 体 制（ イ ン シ デ ン ト 対 応 チ ー ム ）を 整 備 し て い ま し た 。こ
の 体 制 で は 、イ ン シ デ ン ト 最 高 責 任 者 を 官 房 長 、イ ン シ デ ン ト 統
括 責 任 者 を 情 報 政 策 担 当 参 事 官 、イ ン シ デ ン ト 管 理 責 任 者 を イ ン
シ デ ン ト 担 当 部 局 の 総 括 課 長 と す る 等 、責 任 者 に よ る 報 告 、連 絡
のための体制となっています。
し か し 、今 回 の 事 案 で は 、NISC と の 窓 口 で あ る セ キ ュ リ テ ィ
対 策 係 か ら CSIRT が 機 能 す る た め の 大 前 提 で あ る 上 司 へ の 報 告
が 迅 速 に 行 わ れ ま せ ん で し た 。ま た 、実 際 の 対 処 や 関 係 機 関 等 と
の調整に当たる技術力を有する実働要員が選任されておらず、
CSIRT 体 制 を よ り 実 効 性 の あ る も の と す る た め の 見 直 し が 不 可
欠です。
こ の た め 、即 応 性 の 向 上 、権 限 の 強 化（ 予 算 面 、人 事 面 、業 務
面 ） の 観 点 か ら 、 CISO を 官 房 長 か ら 厚 生 労 働 審 議 官 に 見 直 す と
と も に 、 CSIRT 体 制 に つ い て も 、 CSIRT を 情 報 シ ス テ ム の 管 理 運
用 部 局 の 責 任 者 か ら 独 立 さ せ 、CSIRT 責 任 者 を 官 房 長 か ら 日 常 的
に 情 報 セ キ ュ リ テ ィ や 情 報 政 策 を 担 当 し て い る 情 報 政 策・政 策 評
価審議官に見直し、即応性と専門性を向上させます。
ま た 、新 た な CSIRT 体 制 で は 、CSIRT 要 員 と し て 、実 際 に イ ン
シ デ ン ト の 対 処 支 援 や 関 係 者 と の 連 絡 調 整 に 従 事 す る 補 佐 、係 長
クラスの職員（上記の情報セキュリティ対策室（仮称）の室員）
を充て、役割を明確化します。
一 方 で 、現 行 の CSIRT 体 制 及 び 厚 生 労 働 省 セ キ ュ リ テ ィ ポ リ シ
ー に お け る 情 報 連 絡 体 制 は 、例 え ば 、各 部 局 の 局 長 、審 議 官 は 役
割 が 規 定 さ れ て い な い な ど 、通 常 業 務 の 情 報 共 有 、意 思 決 定 ラ イ
ン と は 別 ル ー ト に 定 め ら れ て い ま す 。こ の こ と が 情 報 を 共 有 す べ
き 者 を 不 明 確 に し た り 、指 揮 系 統 の 二 元 化 に よ る 迅 速 な 判 断 や 意
思 決 定 が で き な い こ と に な ら な い よ う 、見 直 し に 際 し て は 、通 常
業務との関係に十分気を付けます。
11
(2)
人的対策（意識改革、人材育成）
①
職員の意識改革
危 機 管 理 対 応 で は 、イ ン シ デ ン ト が も た ら す 最 悪 の ケ ー ス を あ
ら か じ め 想 定 し 、常 に 危 機 感 を も っ て 対 処 す る こ と が 大 原 則 で あ
る に も 関 わ ら ず 、特 に 、標 的 型 メ ー ル 攻 撃 を 始 め と す る サ イ バ ー
攻 撃 を 含 む 情 報 セ キ ュ リ テ ィ 対 策 に つ い て は 、省 全 体 と し て の 意
識 が 希 薄 で し た 。今 回 の 事 案 を 踏 ま え て 、緊 張 感 の あ る 姿 勢 で 日
常の業務に臨むよう、職員の徹底した意識改革を行います。
既 に 、職 員 全 員 に 情 報 の 安 全 な 取 扱 に つ い て 改 め て 周 知 徹 底 を
行 う と と も に 、政 務 三 役 を 含 め た 幹 部 職 員 に つ い て も 専 門 家 に よ
る 情 報 セ キ ュ リ テ ィ 研 修 を 実 施 し 、責 任 者 の 危 機 意 識 の 向 上 と 啓
発を行います。
ま た 、全 職 員 に 対 す る 情 報 セ キ ュ リ テ ィ に 関 す る 意 識 の 向 上 を
図 る 観 点 か ら 、毎 年 、初 任 者 研 修 の 機 会 や 政 府 が 定 め る「 サ イ バ
ー セ キ ュ リ テ ィ 月 間 」（ 2 月 ） に 情 報 セ キ ュ リ テ ィ 研 修 等 を 実 施
し て き ま し た が 、今 回 の 事 案 を 踏 ま え 、厚 生 労 働 省 に お い て も 情
報 セ キ ュ リ テ ィ に 対 す る 独 自 の 集 中 的 な 取 組 期 間 を 設 定 し 、職 員
に 対 し て 今 回 の 事 案 の 概 要 や 反 省 点 を 理 解 さ せ 、警 鐘 を 発 す る こ
とで多数の情報流出を防ぐことができなかった今回の事案を風
化させない取組を行います。
②
マネジメント面の意識改革
厚 生 労 働 省 は 、所 管 の 各 分 野 に お い て 毎 年 の よ う に 制 度 改 正 を
行 っ て い ま す 。し か し な が ら 、省 全 体 と し て こ う し た 制 度 改 正 に
注 力 す る 必 要 が あ る 一 方 で 、情 報 シ ス テ ム の 整 備 や 文 書 管 理 な ど
日 常 業 務 の 基 盤 整 備 は 優 先 順 位 に お い て 後 回 し に な り 、人 的 資 源
の 配 分 も 少 な く な っ て い た こ と は 否 定 で き ま せ ん 。今 回 の 事 案 で
も情報セキュリティに対応する人的配置が全く不足していたこ
とが指摘されています。
制 度 を 不 断 に 見 直 し 、必 要 な 法 律 改 正 を 行 う こ と が 厚 生 労 働 省
の 一 つ の 組 織 文 化 と な っ て き た と い え る か も し れ ま せ ん が 、一 方
で 、そ れ を 実 現 す る た め の 内 部 管 理 、業 務 体 制 を 十 分 に 整 備 す る
という組織文化が欠けていました。
し た が っ て 、特 に 幹 部 職 員 に お い て は 、情 報 セ キ ュ リ テ ィ に 関
す る 意 識 改 革 だ け で は な く 、業 務 基 盤 の 整 備 な ど 業 務 改 革 を 進 め
12
るとともに、人的資源の確保、配分における優先順位の見直し、
あ る い は 限 ら れ た 人 的 資 源 の 中 で 取 り 組 む 業 務 の 取 捨 選 択 、順 序
付けを行うというマネジメント面の意識改革を行います。
③
実践的な訓練の実施
現 実 に イ ン シ デ ン ト が 発 生 し た 場 合 に は 、事 態 や 被 害 状 況 の 把
握 、被 害 の 拡 大 防 止 策 の 実 施 、復 旧 の 検 討 、関 係 者 へ の 説 明 、公
表 、関 係 機 関 と の 連 絡 調 整 等 、多 方 面 で の 対 応 が 必 要 と な り 、今
回 の よ う に 、必 要 な 連 絡 や 報 告 が 遅 延 す る こ と の な い よ う 、あ ら
かじめ事案を想定した実践的な訓練が必要でした。
こ の た め 、標 的 型 メ ー ル 攻 撃 に 対 す る 一 般 職 員 の 危 機 意 識 や リ
テラシーを向上させるため、不審な電子メールの受信時の対応、
万 が 一 開 封 し た 場 合 の 初 動 や 、必 要 な 報 告 、連 絡 を 含 む 実 践 的 な
訓 練 （ 抜 き 打 ち 的 な も の を 含 む 。） を 行 い ま す 。
ま た 、 総 務 省 が 主 催 す る 「 実 践 型 サ イ バ ー 防 御 演 習 （ CYDER）」
へ の 厚 生 労 働 省 所 管 法 人 等 の 職 員 を 含 め た 参 加 を 通 じ て 、情 報 セ
キュリティ対策に携わる担当職員の能力向上を図ります。
さ ら に 、民 間 企 業 が 提 供 す る 実 践 的 な サ イ バ ー セ キ ュ リ テ ィ 研
修 サ ー ビ ス を 活 用 し 、CSIRT 体 制 の 初 動 対 応 を 含 め た 演 習 を 実 施
します。
④ 専門人材の確保
現 在 の CSIRT 体 制 に お い て は 、専 門 的 知 識 を 有 す る 者 に よ る 助
言 を 受 け る こ と が で き る よ う 、CIO 補 佐 官 に イ ン シ デ ン ト ア ド バ
イザーを依頼していました。
し か し 、CIO 補 佐 官 は 非 常 勤 で あ り 、ま た 、イ ン シ デ ン ト 対 応
以外にも大規模情報システムの刷新業務等に関する支援業務な
ど 多 く の 業 務 を 抱 え て い た た め 、今 回 の 事 案 で は 、情 参 室 の 担 当
者等と迅速に報告や相談を行うなど緊密な連携ができませんで
し た 。厚 生 労 働 省 に お い て は 、必 ず し も 情 報 セ キ ュ リ テ ィ の 専 門
的 知 識 を 有 す る 職 員 を 組 織 内 部 で 養 成 で き て い な い こ と か ら 、外
部 人 材 に よ る 助 言 が 重 要 で あ り 、速 や か に こ う し た 助 言 を 受 け ら
れる体制の構築が必要です。
こ の た め 、新 た に 設 置 す る 情 報 セ キ ュ リ テ ィ 対 策 室（ 仮 称 ）に
情 報 セ キ ュ リ テ ィ に 関 す る 外 部 の 専 門 家 を 常 勤 で 配 置 し 、イ ン シ
13
デント発生時には、即時に技術的な助言ができる体制とします。
ま た 、イ ン シ デ ン ト 発 生 時 は も と よ り 、イ ン シ デ ン ト の 発 生 か ど
う か 、警 戒 す べ き か ど う か と い っ た 状 況 判 断 に お け る 技 術 的 な 助
言もその専門家により行います。
な お 、配 置 す る 際 に は 、情 報 シ ス テ ム の 専 門 家 が 必 ず し も 情 報
セキュリティ対策の専門家ではないことを念頭に置くとともに、
24 時 間 365 日 の 対 応 や 病 休 時 の 代 替 要 員 の 手 配 等 も 考 慮 し 、 民
間企業と業務委託契約により確保することも検討します。また、
契 約 の 際 に は 、平 時 の 際 の 業 務 と し て 、研 修 の 講 師 や 各 種 調 達 へ
の 助 言 、情 報 セ キ ュ リ テ ィ 対 策 に お け る 設 計 へ の 助 言 を 盛 り 込 む
など契約内容を工夫します。
専 門 家 の 採 用 に 当 た っ て は 、概 念 的 、学 術 的 助 言 や 特 定 の 情 報
セ キ ュ リ テ ィ 製 品 、技 術 に 特 化 し た 知 識 だ け を 確 認 す る の で は な
く、幅広い情報システムを管理できる技術力を持っているか、
様 々 な 製 品 、技 術 の 特 性 や 脆 弱 性 に 関 す る 知 識 を 偏 り な く 持 っ て
い る か 、情 報 シ ス テ ム 管 理 の 作 業 現 場 で の 対 応 能 力 を 持 っ て い る
か 、イ ン シ デ ン ト 発 生 現 場 で の 問 題 解 決 能 力 を 持 っ て い る か 、コ
ミュニケーション能力が優れているかという点を十分に確認し、
採用します。
ま た 、厚 生 労 働 省 の 主 要 な 情 報 シ ス テ ム の 所 管 部 局 と の 連 携 を
強 化 し 、イ ン シ デ ン ト 発 生 時 の 即 応 性 を 向 上 さ せ ま す 。な お 、深
刻 な 緊 急 対 応 時 に は 、 NISC の 情 報 セ キ ュ リ テ ィ 緊 急 支 援 チ ー ム
「 CYMAT(サ イ マ ッ ト )」 へ の 速 や か な 支 援 要 請 や 外 部 事 業 者 に 対
し、専門的な知識を生かした支援等を委託します。
さ ら に 、組 織 内 で の 人 材 養 成 の 観 点 か ら 、職 員 に 対 す る 独 立 行
政 法 人 情 報 処 理 推 進 機 構 が 実 施 す る「 情 報 セ キ ュ リ テ ィ ス ペ シ ャ
リ ス ト 」を 始 め と す る 情 報 セ キ ュ リ テ ィ 関 連 資 格 の 取 得 勧 奨 や 当
該 資 格 を 保 有 す る 職 員 に 対 す る 人 事 評 価 の 在 り 方 、情 報 シ ス テ ム
に従事する職員のキャリアパスについて検討を行います。
⑤
教訓や知識の蓄積と継続性の確保
厚生労働省においては情報セキュリティなど危機管理の観点
からの人材育成や過去の事案から得られた教訓の蓄積が必ずし
も効果的、網羅的に行われているとは言い難い状況にあります。
厚生労働省として情報セキュリティ対策を強化していくために
14
は、これら過去の事案から得られた教訓を取りまとめ、蓄積し、
世 代 を 越 え て 共 有 し て い く こ と が 必 要 で あ り 、さ ら に 、情 報 セ キ
ュリティに関する専門的知識の最新の動向について外部の専門
家の助言を得ていく必要があります。
このため、職員が定期的にこれらの教育を受ける機会を設け、
危機管理に関する教訓や知識の蓄積と継続性の確保を図ります。
ま た 、そ の 際 に は 、イ ン シ デ ン ト を 経 験 し た 職 員 が 講 師 と な り 、
未経験の職員に対し自らの教訓を伝える職員同士の勉強会形式
の研修も採用します。
(3)
業務運営対策（ルールの見直し、徹底）
①
報告及び連絡体制の確立、責任の明確化
今 回 の 事 案 で は 、NISC か ら の 不 審 な 通 信 の 検 知 に 関 す る 連 絡 、
事 案 内 容 の 把 握 、機 構 に お け る 対 処 状 況 、警 察 へ の 相 談 と い っ た
各 過 程 に お い て 、そ の 状 況 を 厚 生 労 働 省 の 担 当 部 局 の 責 任 者 が 適
切に把握していなかったことが明らかとなりました。
ま た 、イ ン シ デ ン ト が 発 生 し た 場 合 に 、例 え ば 情 報 シ ス テ ム の
インターネットからの遮断等具体的にどのような情報システム
上 の 対 処 措 置 を 行 う べ き か に つ い て は 、幹 部 を 含 む 全 て の 職 員 が
高 度 な 知 識 を 有 し て い る わ け で は あ り ま せ ん 。 一 方 で 、 ICT化 に
よ る 行 政 効 率 化 を 推 進 し て い く 中 で 、厚 生 労 働 行 政 の 業 務 運 営 に
お い て 情 報 シ ス テ ム は 不 可 欠 で す 。特 に 、ま す ま す 巧 妙 化 す る サ
イ バ ー 攻 撃 に 晒 さ れ る 現 状 に 鑑 み る と 、情 報 セ キ ュ リ テ ィ 対 策 は 、
巧妙に偽装された不審な電子メールの開封や他の機関の改竄さ
れたホームページにアクセスしてしまうことは防ぎ切れないと
いう前提のもと、講じていかなければなりません。
こ の た め 、厚 生 労 働 省 セ キ ュ リ テ ィ ポ リ シ ー 及 び 対 処 手 順 書 に
おいて、以下の見直しを行います。
・
インシデント発生時の責任者への報告、連絡体制を見直す
と と も に 、速 や か に 大 臣 を 始 め と す る 幹 部 に 報 告 す る こ と 等 、
事 案 発 生 か ら の 各 対 応 過 程（ 警 察 へ の 相 談 等 も 含 む 。）に お い
て責任者に対する報告、連絡を明記します。
・
各対応過程において各部局の責任者が果たすべき役割、職
責を明確にします。
・
CSIRT 体 制 の 見 直 し に 伴 い 、技 術 的 支 援 、措 置 に 関 す る 指 示 、
15
勧 告 、 対 外 的 な 連 絡 調 整 を 行 う CSIRT と 、 実 際 の 対 処 や 復 旧
に当たる担当部局の役割と責任を明確にします。
・
各組織において、インシデント発生時の対応責任者をあら
かじめ決めておき、インシデント発生時には、組織の責任者
とは独立して即時に対応できるようにします。
・
インシデントと判断する基準等を一層明確にし、組織内で
の共有を図ります。特に、不審メールを受信した場合には、
標的型メール攻撃であることを念頭に、上司に報告すること
や危機意識を持った継続的な対応を行うことを前提に対処措
置を定めます。
・
職員が対処措置等について検討し判断できるよう、実際に
発生した事案において実施した対処措置を整理し、参考とす
べき基準として職員に示します。
・
厚 生 労 働 省 に は 、毎 日 の よ う に 不 審 な 電 子 メ ー ル が 送 ら れ て
き て お り 、こ れ ら に 対 す る 注 意 喚 起 を 促 す 電 子 メ ー ル も 毎 日 職
員 に 対 し て 送 付 さ れ て い ま す 。注 意 喚 起 を 促 す 電 子 メ ー ル を 受
け 取 る 職 員 が 不 審 な 電 子 メ ー ル に 対 す る 警 戒 心 を 麻 痺 さ せ 、現
実にインシデントが発生した際の対応に遅れが生じないよう
関 連 が 予 想 さ れ る 複 数 の 攻 撃 が 起 こ っ て い る 場 合 に は 、連 絡 内
容や連絡手段を変えるなど工夫します。
②
保有する情報を適切にリスク評価した上での情報管理の徹底
サ イ バ ー セ キ ュ リ テ ィ 戦 略 に お い て 、被 害 を 低 減 す る 取 組 と し
て「 個 人 情 報 や 機 微 な 情 報 を 始 め 、外 部 に 流 出 す る こ と や 改 ざ ん
されることによって国民・社会等に多大な悪影響を及ぼす機密
性・完 全 性 の 高 い 情 報 へ の 不 正 な ア ク セ ス を よ り 困 難 な も の に す
る た め 、業 務 の 内 容 や 取 り 扱 う 情 報 の 性 質・量 に 応 じ た 情 報 シ ス
テムの分離や運用ルールを含む情報管理の更なる強化に取り組
む 。」 と さ れ て い ま す 。
厚 生 労 働 省 で は 、多 種 多 様 な 個 人 情 報 や 機 微 な 情 報 を 扱 っ て 業
務 を 遂 行 し て い る こ と か ら 、イ ン タ ー ネ ッ ト の も た ら す 脅 威 を 再
認 識 し 、個 人 情 報 等 重 要 情 報 を 取 り 扱 う 情 報 シ ス テ ム や 業 務 の 現
状 を 把 握 し 、そ れ ぞ れ の 実 態 や リ ス ク を 組 織 的 に 共 有 す る た め リ
スク評価を実施します。
今 後 、リ ス ク 評 価 の 結 果 に 基 づ き 、業 務 内 容 に 応 じ た 対 策 を 講
16
じ る こ と と し ま す が 、緊 急 的 な 対 応 と し て 、個 人 情 報 等 の 重 要 情
報 を 取 り 扱 う 省 内 の 情 報 シ ス テ ム に つ い て は 、イ ン タ ー ネ ッ ト か
ら 物 理 的 又 は 論 理 的 に 分 離 し 、イ ン タ ー ネ ッ ト に 接 続 さ れ た 端 末
で利用しないこととする措置を講じたところです。
業 務 内 容 に 応 じ た 対 策 を 講 じ る に 当 た っ て は 、イ ン シ デ ン ト 発
生 時 に 国 民 や 社 会 へ 与 え る 被 害 や 影 響 に つ い て 定 量 的 、定 性 的 に
分 析 を 行 い 、そ の 結 果 に 基 づ き 、事 態 の 被 害 や 影 響 を 最 小 化 す る
ための対策を検討します。
ま た 、対 策 の 実 施 に 当 た っ て は 、リ ス ク 評 価 の 結 果 に 基 づ い た
機 器 の 設 定 等 は も と よ り 、規 程 の 見 直 し や 職 員 へ の 啓 発 等 を 行 い 、
組織全体として情報を管理する能力を向上させます。
な お 、リ ス ク 評 価 に つ い て は 、業 務 実 態 や 社 会 の 動 向 等 を 踏 ま
え、専門的な見地から実施します。
(4)
①
技術的対策（情報システムの強化）
高度な標的型攻撃を想定した入口、内部、出口のセキュリテ
ィの強化
標的型メールのような外部からの攻撃を完全には防御するこ
と は で き な い こ と を 前 提 に 、攻 撃 を 受 け て も 早 期 に 認 知 、対 応 し 、
実際の被害を最小限にするための措置を講じる必要があります。
こ の た め 、 統 合 ネ ッ ト ワ ー ク に お い て は 、「 政 府 機 関 の 情 報 セ
キ ュ リ テ ィ 対 策 の た め の 統 一 基 準 」（ 平 成 26 年 5 月 19 日 情 報 セ
キ ュ リ テ ィ 政 策 会 議 決 定 ）及 び「 高 度 サ イ バ ー 攻 撃 対 処 の た め の
リ ス ク 評 価 等 の ガ イ ド ラ イ ン 」（ 平 成 26 年 6 月 25 日 情 報 セ キ ュ
リ テ ィ 対 策 推 進 会 議 ）に 示 さ れ て い る 内 容 の 他 、特 に サ イ バ ー セ
キ ュ リ テ ィ 戦 略 に お い て 、政 府 機 関 を 守 る た め の 取 組 と し て「 情
報 の 窃 取・破 壊・改 ざ ん を 企 図 し た と み ら れ る 標 的 型 攻 撃 を 始 め
と し た サ イ バ ー 攻 撃 に 対 処 す る た め 、（ 中 略 ） 全 て の 政 府 機 関 等
に お い て 、攻 撃 に 直 面 す る こ と を 前 提 と し た 多 層 的 な 対 策 を 講 ず
る 。」 と さ れ て い る 点 も 踏 ま え 、 高 度 な 標 的 型 攻 撃 に 対 す る 多 重
防御対策に取り組みます。
具 体 的 に は 、各 種 ウ イ ル ス の 侵 入 を 検 知 す る 入 口 対 策（ 水 際 対
策 ）に 加 え 、情 報 ネ ッ ト ワ ー ク 及 び 情 報 シ ス テ ム へ の 侵 入 拡 大 や 、
悪 意 が あ る 攻 撃 者 が 、重 要 情 報 を 不 正 に 取 得 し た り 、不 正 に ア ク
セ ス す る た め の 通 信 を リ ア ル タ イ ム に 監 視 し 、適 正 に 遮 断 す る 機
17
能 な ど 、標 的 型 攻 撃 を 早 期 に 検 知 す る た め の 内 部 、出 口 対 策 を 強
化します。
ま た 、複 数 機 器 か ら 取 得 し 、整 理 し た 証 跡 情 報 等 を 相 関 分 析 し 、
不 正 な 通 信 が 発 生 し た 場 合 に は 、リ ス ク 評 価 の 結 果 に 基 づ き 、業
務 へ の 影 響 を 最 小 限 に と ど め つ つ 、自 動 的 に 遮 断 す る た め の 基 準
や 適 用 範 囲 な ど に つ い て 、最 新 の 情 報 セ キ ュ リ テ ィ 対 策 に 詳 し く 、
実 務 経 験 の あ る 専 門 家 や CIO 補 佐 官 等 の 助 言 を 得 な が ら 、 設 計 、
構築し、適切な運用を行います。
こ の 他 に も 、リ ス ク 評 価 に よ り 判 明 し た イ ン シ デ ン ト の 発 生 防
止 に 向 け た 有 効 な 対 策 技 術 に つ い て 導 入 を 検 討 し 、必 要 な 事 項 は 、
厚生労働省セキュリティポリシーに基づき定期的に策定する情
報セキュリティ対策推進計画へ速やかに盛り込みます。
②
情報セキュリティの運用設計の見直しと改善
各種機器を導入しただけではその性能のごく一部しか発揮で
き ま せ ん 。組 織 や 情 報 シ ス テ ム に 導 入 す る 情 報 セ キ ュ リ テ ィ 対 策
に お い て 、各 組 織 間 、情 報 シ ス テ ム 間 で 役 割 分 担 を 明 確 化 し た 運
用設計がなされることが非常に重要となってきます。
こ の た め 、厚 生 労 働 省 及 び 厚 生 労 働 省 所 管 法 人 等 が 保 有 す る 情
報 シ ス テ ム に お い て は 、同 一 の 考 え 方 に 基 づ き 、各 業 務 の 実 態 や
リ ス ク 評 価 結 果 を 踏 ま え た 運 用 設 計 を 行 い ま す 。さ ら に イ ン シ デ
ン ト 発 生 時 に は 、よ り 一 層 の 情 報 連 携 が 必 要 な こ と か ら 、各 組 織
間の連携も含めた一元的なインシデント対応を実施します。
③
調達時の契約内容の見直し
標 的 型 攻 撃 に 対 応 す る た め に は 、ソ フ ト ウ ェ ア ベ ン ダ ー が 提 供
す る 脆 弱 性 情 報 を 定 期 的 に 確 認 し 、重 大 な 脆 弱 性 に 対 応 す る 最 新
の セ キ ュ リ テ ィ パ ッ チ を 適 用 す る 必 要 が あ り ま す が 、今 回 の 事 案
で は 、機 構 に お い て 、適 用 作 業 に 伴 う 情 報 シ ス テ ム の 停 止 等 の 影
響等の懸念から、先延ばしされていました。
こ の た め 、国 が 情 報 シ ス テ ム を 調 達 す る 際 に は 、最 新 の セ キ ュ
リティパッチが適用されるよう徹底します。
ま た 、 新 規 構 築 、 更 改 、 改 修 （ 軽 微 な 改 修 を 除 く 。） を 行 う 情
報 シ ス テ ム の 調 達 に お い て は 、ネ ッ ト ワ ー ク 機 器 や 情 報 シ ス テ ム
を 構 成 す る サ ー バ 、ア プ リ ケ ー シ ョ ン に つ い て 、脆 弱 性 検 査 ツ ー
18
ルや点検基準を用いた第三者による検査を徹底するための要件
を追加します。
２．厚生労働省と機構の関係の強化
機構は、様々な問題を生じた社会保険庁を廃止し、新たに非公務
員型の公法人を設けて、厚生労働大臣の監督の下に、厚生労働大臣
と密接な連携を図りながら、政府管掌年金事業の運営に関する業務
を担わせることで、提供するサービスの質の向上と業務運営の効率
化を実現することを目的として創設されました。
今回の事案を踏まえれば、機構による改革の取組は道半ばです。
政府管掌年金事業の適正な運営は厚生労働省と機構が車の両輪とな
って共に担う、との考え方を再確認し、機構自身の改革の取組と併
せて、厚生労働省による機構への指導監督の強化や、年金局の体制
強化に取り組みます。
(1)
厚生労働省の機構に対する指導監督の強化
上記のような機構創設の原点に立ち返り、機構におけるガバナ
ンス、組織風土のゼロベースからの抜本改革などの機構の改革と
併せて、機構の業務に関する厚生労働省のモニタリング機能の強
化、機構の業務運営上定める内規等の共有のルール化や、事件、
事故、事務処理誤り等についての報告、連絡や情報共有の徹底な
ど機構に対する指導監督の強化に取り組みます。
また、システムの運用管理も含めた情報セキュリティ対策を一
元的に管理する組織の新設など、機構が講じる再発防止策が着実
に進むよう取組を行っていきます。
社会保障審議会年金事業管理部会については、新たな委員を任
命するとともに、事務局へ民間から複数の参与を任命し、一層国
民的視点に立って年金事業の管理がなされるように改めることと
しました。また、国民からの意見が年金局を経由せずに直接部会
委員一人ひとりへ伝わるよう専用の窓口を設置しました。こうし
た取組により第三者や国民の視点による年金事業運営に対する監
視 を 強 化 し て い き ま す 。こ の 部 会 に 対 す る 説 明 責 任 を 果 た し つ つ 、
着実に取組を進めます。
19
① システムに対する監督部署の明確化
機構の役職員が日常業務で使用するイントラネットである機
構 LAN シ ス テ ム は 、厚 生 労 働 大 臣 の 監 督 下 に あ り ま す が 、当 該 シ
ステムに対する監督権限が年金局のどの課室にあるのか不明確
でした。
こ の た め 、年 金 局 事 業 管 理 課 シ ス テ ム 室 を 中 心 に 取 り 組 む こ と
とし、権限の所在を明確にしました。
ま た 、イ ン シ デ ン ト 発 生 時 の 連 絡 に つ い て も 、イ ン シ デ ン ト の
重要度を適切に判断して対応できるよう年金局システム室が情
参 室 及 び 機 構（ 情 報 セ キ ュ リ テ ィ 責 任 者 ）と の 連 絡 調 整 を 行 う と
と も に 、速 や か に 幹 部 へ 報 告 す る こ と を ル ー ル 化 し た と こ ろ で す
が 、同 室 に つ い て 、年 金 関 係 業 務 及 び シ ス テ ム に 精 通 す る 職 員 を
増強するとともに、外部の専門家を加え、体制強化を図ります。
こ れ に よ り シ ス テ ム の 見 直 し 、調 達 の 各 段 階 で 、情 報 セ キ ュ リ テ
ィ の 観 点 か ら 厳 重 な チ ェ ッ ク を 行 う 等 、機 構 に 対 す る 指 導 監 督 能
力を強化します。
② モニタリング機能の強化
今 回 の 事 案 で は 、一 部 の 個 人 情 報 に つ い て パ ス ワ ー ド 設 定 等 を
行 っ て い な い 等 、ル ー ル に 定 め ら れ た 情 報 セ キ ュ リ テ ィ 対 策 が 現
場では必ずしも実行されていないことが明らかとなりました。
こ の た め 、機 構 の 改 革 の 取 組 が 着 実 に 進 む よ う 、年 金 局 事 業 企
画課年金事業運営推進室職員が機構本部に交代で常駐するとと
も に 、事 業 企 画 課 監 査 室 に つ い て 、こ れ ま で の シ ス テ ム 監 査 担 当
に 加 え 、そ れ 以 外 の 業 務 監 査 担 当 も 機 構 に 常 駐 す る こ と と し 、厚
生労働省の機構に対するモニタリング、監査を強化します。
③ 業務運営上定める内規等の共有のルール化
機 構 が 業 務 運 営 上 定 め る「 基 本 方 針 」
「規程」
「細則」
「 要 領（ マ
ニ ュ ア ル 等 ）」
「 指 示 、依 頼 」に つ い て 、内 部 統 制 強 化 の 観 点 か ら 、
年金局においても改めて確認し、必要な見直しを行うとともに、
今 後 、こ れ ら の 制 定 、改 廃 又 は 発 出 を 行 う と き は 、年 金 局 の 担 当
部 署 へ 速 や か に 報 告 し 、年 金 局 が チ ェ ッ ク す る こ と と し 、そ の ル
ール化を行います。
20
④ 報告、連絡の徹底
「事件、事故、事務処理誤り」については、年金事務所等の各
拠 点 か ら 機 構 本 部 へ 報 告 が あ っ た 時 点 で 、機 構 か ら 年 金 局 へ も 報
告することとします。
また、事務処理誤りについて、個別の事案が「個別報道発表案
件」に該当すると機構が判断したものについて、年金局で確認す
ることとします。
さ ら に 、 年 金 局 は 、「 事 件 、 事 故 、 事 務 処 理 誤 り 」 に つ い て 機
構 か ら 報 告 を 受 け て い る 案 件 の う ち 、「 個 別 報 道 発 表 案 件 」 に 該
当するものについて、速やかに公表するよう機構に指示します。
⑤ 情報共有の徹底
機構と厚生労働省との情報共有に当たっては、危機に際して
「 悪 い 知 ら せ 」を 速 や か に 共 有 す る 意 識 を 徹 底 す る と と も に 、担
当 者 レ ベ ル の み な ら ず 、幹 部 も 含 め た そ れ ぞ れ の レ ベ ル で の 日 常
的 な 報 告 、連 絡 、相 談 ル ー ル（ 各 レ ベ ル で 報 告 等 を 行 う 事 項 の 明
確 化 を 含 む 。） を 構 築 し ま す 。
⑥ 年金局と機構の連携の強化
上 記 の ほ か 、年 金 局 と 機 構 と の 連 携 、相 互 理 解 を 促 進 す る と と
もに、年金局職員の公的年金に関する実務能力を強化するため、
年金局職員と機構職員の相互の人事交流を拡大します。
ま た 、府 省 共 通 研 修 、厚 生 労 働 省 が 実 施 す る 研 修 の 受 講 を 促 進
するとともに、年金局独自の研修を充実します。
さ ら に 、年 金 局 職 員 に つ い て は 、原 則 と し て 年 金 事 務 所 で の 勤
務経験を課長補佐等への登用のキャリアパスとして位置付けま
す。
特 に 、年 金 制 度 改 正 の 企 画 立 案 を 担 う 部 署 に お け る 管 理 職 相 当
以 上 の 職 員 に は 機 構 へ の 出 向 経 験 を 求 め る な ど 、年 金 実 務 を 十 分
考慮に入れた制度設計が行われるようにします。
(2)
年金局の体制強化
機構自身による改革の推進のために機構に設置される「日本年
金 機 構 再 生 本 部 （ 仮 称 ）」 と 連 携 し 、 機 構 の 改 革 の 取 組 が 着 実 に 進
21
むようにするため、年金局の体制を強化します。
また、機構が運用するシステム全体について、システム刷新に
係る計画、設計に始まり、インシデント発生時など緊急時の対応
に至るまで、一貫した指導監督ができるよう、体制の強化を図り
ます。
３．厚生労働省所管法人等に対する監督と情報セキュリティ対策の強
化
厚生労働行政は、厚生労働省の他にも多くの厚生労働省所管法人
等が担っていますが、近時、厚生労働省所管法人等への攻撃が相次
いで行われています。
患者や労働者などの国民の個人情報を守り情報セキュリティに関
する信頼を得ていくためには、こうした厚生労働省所管法人等にお
いても今回の事案を踏まえた対策が必要です。情報セキュリティ対
策は、当該法人等が責任を持って行うことを基本としつつ、厚生労
働省においても当該法人等の情報を収集し、当該法人等と一体とな
って日常的な対策やインシデント発生時などの緊急時の対応を行っ
ていきます。
(1)
教育訓練の実施
意 識 改 革 や 教 育 訓 練 は 、厚 生 労 働 省 所 管 法 人 等 に お い て も 徹 底
さ れ る 必 要 が あ り 、標 的 型 メ ー ル 攻 撃 を 含 む サ イ バ ー 攻 撃 を 始 め
とする情報セキュリティの脅威と対策の必要性が確実に伝わる
よ う 、関 係 部 局 と 協 力 し つ つ 情 参 室 か ら 積 極 的 な 啓 発 を 行 う 必 要
があります。
こ の た め 、厚 生 労 働 省 所 管 法 人 等 を 所 管 す る 部 局 の 職 員 、幹 部
に つ い て も 、情 報 セ キ ュ リ テ ィ に お け る 当 該 法 人 等 と の 連 携 に つ
いて教育訓練を行います。
ま た 、厚 生 労 働 省 が 行 う 職 員 等 へ の 教 育 訓 練 に つ い て は 、厚 生
労 働 省 所 管 法 人 等 に も 内 容 を 情 報 共 有 し 、適 切 な 教 育 訓 練 が 行 わ
れているかどうか専門家による監査（助言）を行います。
(2)
報告、連絡体制の確保
今 回 の 事 案 で は 、年 金 局 は 機 構 と の 間 に イ ン シ デ ン ト 発 生 時 の
22
報 告 、連 絡 、相 談 ル ー ル を 明 確 化 し て お ら ず 、機 構 か ら 適 時 、的
確な報告がなされなかったという問題がありました。このため、
厚生労働省所管法人等においてインシデントが発生した場合の
報 告 、連 絡 体 制 に つ い て 、速 や か な 対 応 が 行 わ れ る よ う 報 告 、連
絡体制の見直しを行うことが必要です。
こ の た め 、厚 生 労 働 省 所 管 法 人 等 で の イ ン シ デ ン ト 発 生 時 に お
ける当該法人等と厚生労働省の担当部局の役割の明確化を図る
と と も に 、迅 速 な 情 報 共 有 が 行 わ れ る よ う 各 部 局 の 連 絡 窓 口 の 見
直しを図る等、報告、連絡等のオペレーションを改善します。
(3)
リスク評価を踏まえた情報管理の徹底と監査（助言）の実施
全 て の 厚 生 労 働 省 所 管 法 人 等 を 対 象 と し て 、厚 生 労 働 省 が 今 後
作 成 す る リ ス ク 評 価 ガ イ ド ラ イ ン 等 に 基 づ き 、リ ス ク 評 価 を 実 施
します。
ま た 、個 人 情 報 等 の 重 要 情 報 が 、サ イ バ ー 攻 撃 等 に よ り イ ン タ
ー ネ ッ ト を 通 じ て 流 出 す る こ と を 防 止 す る た め 、緊 急 的 な 対 応 と
し て 、イ ン タ ー ネ ッ ト に 接 続 さ れ た ネ ッ ト ワ ー ク か ら 物 理 的 又 は
論理的に分離するなど必要なシステム上の措置を講じたところ
で す 。そ の 上 で 、上 記 の リ ス ク 評 価 結 果 に 基 づ き 、業 務 の 内 容 や
情 報 の 性 質 、量 に 応 じ た 情 報 セ キ ュ リ テ ィ 対 策 の 更 な る 改 善 に 取
り組みます。
さ ら に 、厚 生 労 働 省 所 管 法 人 等 に お い て 個 人 情 報 等 の 管 理 が 適
切 に な さ れ て い る か 、設 定 さ れ た ル ー ル が 適 切 に 遵 守 、運 用 さ れ
ているか等について、自己点検を実施させるとともに、併せて、
当 該 法 人 等 に 対 し 、厚 生 労 働 省 に 新 た に 設 置 す る 情 報 セ キ ュ リ テ
ィ 対 策 室 （ 仮 称 ） が 、 情 報 セ キ ュ リ テ ィ の PDCA の 観 点 か ら 監 査
（ 助 言 ）を 行 い 、そ の 実 施 状 況 を 確 認 し 、個 人 情 報 等 の 重 要 情 報
の管理を徹底させます。
23
（別紙）
○
「検証報告書」（日本年金機構における不正アクセスによる情報
流出事案検証委員会
１
平 成 27 年 8 月 21 日 ） 指 摘 事 項
総論
本件情報流出をもたらせた標的型攻撃は、被害者が攻撃を認識し
一応の防御をしているにもかかわらず、次々と手口を変えて攻撃を
継続する極めて執拗かつ組織的なものであった。
これに対し、こうした標的型攻撃を含むサイバー攻撃に対する対
応は、機構及びこれを監督する厚労省のいずれにおいても不十分な
ものであり、高度化する攻撃に対応可能な体制が整備されていなか
ったことが個人情報の大量流出という深刻な事態につながったと言
わざるを得ない。
このような事態となった根本原因は、①機構、厚労省ともに、標
的型攻撃の危険性に対する意識が不足しており、事前の人的体制と
技術的な対応が不十分であったこと、②インシデント発生後におい
ては、現場と幹部の間、関連する組織間（例えば、機構と厚労省、
同一組織間の各部署、機構と運用委託会社など）、情報や危機感の
共有がなく、組織が一体として危機に当たる体制になっておらず、
その結果、組織内の専門知識を持つ者の動員ができず、担当者が幹
部の明確な指揮を受けることもできないままに場当たり的な対応に
終始し、迅速かつ明確な対処ができなかったことにある。
この点は、以下の二つの場面での対応に端的に表れている。
第 一 に 、 緊 急 事 態 に 迅 速 に 対 応 す べ き CSIRT が 、 機 構 に お い て 組
織されていないため、何らの備えもなく 5 月 8 日の第一段階の攻撃
を迎え、情報セキュリティの専門知識を有する職員を動員できず、
外 部 の 専 門 家 に も 協 力 を 得 な い ま ま で 、担 当 者 と 運 用 委 託 会 社 と が 、
判明した個々の感染端末の特定と抜染に終始し後手に回ったことが
あげられる。
第二に、本事案で第二段階の攻撃により標的型メールの一斉送信
が行われ、このまま推移すれば、職員のうち誰かがメールの添付フ
ァイルを開封し端末の感染が続発することが容易に予想される事態
になったのに、情報の共有に欠け、組織が一体として危機に対処し
ていないために、機構内部はもとより運用委託会社、厚労省からも
24
インターネット接続の全面遮断との意見が出ず、なすべき決断がで
きないまま情報流出に至ったことである。
本件情報流出をもたらせた個別的な要因をあげれば、人的体制と
技術的な観点から２、３の通り様々な要因があげられるが、それら
は、全て上記の根本的な原因に起因するものである。
２
日本年金機構における要因
(1)
サイバー攻撃に対する人的・組織的な準備の不足
機構は、本事案のような外部からのサイバー攻撃による情報流
出の可能性について、業務運営上のリスクとして漠然と認識はし
ていたものの、事務処理誤りや内部者による情報流出等のリスク
への対応を優先し、サイバー攻撃による情報流出の可能性に対し
ては、認識が乏しく有効な準備を行っていなかった。
とりわけ、標的型攻撃に適切に対応するためには、しかるべき
責任者による指揮の下、組織内外の専門的知見を随時活用して組
織を挙げた対応を行うことができる人的体制を整備するとともに、
具体的な対応に関する手順書等のマニュアルを整備しておくこと
が 不 可 欠 で あ る が 、そ の い ず れ に お い て も 対 応 が 不 十 分 で あ っ た 。
①
人的体制の不備
人 的 体 制 の 準 備 の 面 で は 、最 高 情 報 セ キ ュ リ テ ィ 責 任 者 以 下 情
報セキュリティポリシーに定められた所定の体制は構築されて
い た も の の 、ポ ス ト 指 定 的 に 一 般 の 職 位 に 基 づ い て 定 め た 体 制 で
あ っ た た め 、実 効 的 な リ ー ダ ー シ ッ プ に 基 づ く 対 応 が 的 確 に 遂 行
できなかった。また、内部の専門家を活用する努力も払われず、
外 部 専 門 家 に ア ド バ イ ス を 求 め る 体 制 も な く 、人 的 体 制 は 質・量
ともに不備があったと認められる。
②
サイバー攻撃への対応体制の不備
組 織 的 な 準 備 を み る と 、機 構 内 で は 緊 急 時 に 必 要 な CSIRT が 設
け ら れ て お ら ず 、そ の た め 現 場 の 担 当 者 が 中 心 と な っ て 対 応 せ ざ
る を 得 な か っ た 。ま た 、標 的 型 攻 撃 に 対 す る 具 体 的 対 処 が 明 示 さ
れ た マ ニ ュ ア ル が 定 め ら れ て い た と は 認 め ら れ な い ば か り か 、本
件のような事態を想定した厚労省との緊急連絡体制も定められ
ていなかった。
25
さ ら に 、運 用 委 託 会 社 と 機 構 と の 間 の 契 約 に よ れ ば 、サ イ バ ー
攻撃等のインシデント発生時の緊急時対応に関する具体的なサ
ー ビ ス 内 容 に つ い て の 明 確 な 合 意 が な さ れ て い な か っ た た め 、責
任 や 権 限 の 所 在 が 不 明 確 な ま ま 、本 件 標 的 型 攻 撃 に 対 処 し て い た 。
③
情報共有の不足
本 事 案 を 通 じ て 、機 構 内 部 、機 構 と 運 用 委 託 会 社 及 び セ キ ュ リ
テ ィ ソ フ ト 会 社 と の 情 報 共 有 が で き て い な か っ た こ と も 、本 件 で
の不適切な対応につながったと認められる。
機 構 の 担 当 者 は 攻 撃 の 当 初 か ら 標 的 型 攻 撃 を 疑 っ て い た が 、そ
の 懸 念 は 機 構 の 内 部 に も 、ま た 、不 正 通 信 を 解 析 す る 運 用 委 託 会
社 及 び セ キ ュ リ テ ィ ソ フ ト 会 社 に も 共 有 さ れ て い な い 。機 構 幹 部
は 、中 堅 幹 部 か ら き ち ん と し た 状 況 の 報 告 や 対 処 の 進 言 を 受 け る
こ と が で き ず 、現 場 の 担 当 者 は 幹 部 の 明 確 な 指 揮 を 受 け ら れ な い
ままに個々の事象の対応に追われていた。
ま た 、運 用 委 託 会 社 は 、部 分 的 な 情 報 を も と に 5 月 8 日 の 事 象
を マ ル ウ ェ ア の 分 析 結 果 に 基 づ き「 情 報 漏 え い の 可 能 性 は 極 め て
低 い 」と 報 告 し 、機 構 も そ の 内 容 を 鵜 呑 み に し て し ま っ た 。セ キ
ュリティソフト会社も全体の状況が分からないままマルウェア
解析の情報提供をするにとどまった。
④
組織としての一体的な対応の不足
本 事 案 の 発 生 後 、本 事 案 へ の 対 応 に あ た っ た 機 構 の 役 職 員 に お
い て は 、相 応 の 危 機 感 が 共 有 さ れ て い た こ と は 認 め ら れ る が 、本
事 案 の 深 刻 な 標 的 型 攻 撃 で あ り 、こ れ に よ っ て 大 規 模 な 情 報 流 出
が 惹 起 さ れ 、機 構 全 体 の 業 務 遂 行 に 重 大 な 支 障 が 生 じ 得 る と い っ
た 可 能 性 が 真 剣 に 検 討 さ れ た 形 跡 は み ら れ な い 。機 構 LAN シ ス テ
ムの運用を担当する基幹システム開発部の一部の人員を中心に
事 態 の 対 応 に あ た る の み で 、他 の 部 署 や 現 場 を 広 く 巻 き 込 ん だ 組
織横断的な対応体制を構築することができなかった。
上記の情報共有の不足とともにこうした対応に終始した背景
に は 、か ね て か ら 指 摘 さ れ て い る 機 構 の ガ バ ナ ン ス の 在 り 方 が 関
係しているものとみられる。
こ の こ と は 、共 有 フ ォ ル ダ へ の 個 人 情 報 保 管 の 問 題 に 端 的 に 表
れ て い る 。誰 も が 共 有 フ ォ ル ダ に 重 要 な 情 報 を 大 量 に 保 管 し て は
26
い け な い と 知 り つ つ 、現 場 は 仕 事 の 都 合 を 優 先 し 、幹 部 は 、現 場
を 知 ら な い ま ま に 形 式 的 な 対 応 に 終 始 し て 長 期 間 を 経 過 し 、い つ
の間にか膨大な個人情報がインターネットの影響下に積み上げ
ら れ 、今 回 の 情 報 流 出 の 重 要 な 要 因 と な っ て い る 。官 民 を 問 わ ず
他の組織では考えられない対応である。
お よ そ 、危 機 に 際 し て の 組 織 と し て の 一 体 的 な 対 応 は 、平 素 の
組織の在り方がそのまま表れる。組織としての一体感のなさが、
今回の事案を契機にそのまま表れたものということができる。
⑤
個人情報保護に関する認識の不足
す で に み て き た と お り 、平 時 の シ ス テ ム の 運 用 に 関 し て は 、共
有フォルダ上に重要な情報を暗号化等せずに保管していたこと
が 大 き な 要 因 と 考 え ら れ る 。規 定 上 定 め ら れ て い た ア ク セ ス 権 の
設 定 、あ る い は パ ス ワ ー ド に よ る 保 護 は 標 的 型 攻 撃 へ の 対 処 と し
ては役立たないものであった。
長期間にわたり個人情報がインターネットの影響下でのリス
ク に 晒 さ れ た 状 況 に あ っ た こ と 自 体 が 、国 民 の 重 要 な 個 人 情 報 を
大量に扱う組織としてはあるまじきことである。
そもそも外部からのサイバー攻撃による潜在的な情報流出の
リ ス ク を 組 織 と し て 把 握 し て い る 部 署 が な か っ た 。そ の 結 果 、リ
スク回避のためのアクセス制限やパスワードの設定などの規定
が 遵 守 さ れ ず 、そ う し た 状 況 が 監 査 に お い て も 点 検・改 善 さ れ る
仕 組 み に な か っ た こ と な ど 、お よ そ 組 織 全 体 と し て 個 人 情 報 保 護
に 関 す る 意 識 が 低 か っ た と 認 め ら れ 、こ れ が 、今 回 の 情 報 流 出 に
つながった大きな要因と指摘せざるを得ない。
⑥
情報セキュリティリスク評価の不備
適 切 な セ キ ュ リ テ ィ 対 策 を 講 じ る に は 、ま ず 、網 羅 的 な 情 報 資
産 の 評 価 が 不 可 欠 で あ る 。し か し な が ら 、機 構 に お い て は 、個 人
情 報 に 限 っ て も 、機 構 内 に 散 在 す る 情 報 の 所 在 の 把 握 と 、そ れ ら
の 情 報 に 対 す る リ ス ク の 把 握 に 必 要 な リ ス ク・ア セ ス メ ン ト が 実
施 さ れ て お ら ず 、リ ス ク に 基 づ い た 有 効 な 情 報 セ キ ュ リ テ ィ 対 策
が講じられていなかった。
(2)
技術的な要因
27
①
脆弱性対応の不徹底
標 的 型 攻 撃 へ の 内 部 対 策 の 一 つ と し て 、ソ フ ト ウ ェ ア ベ ン ダ ー
か ら 提 供 さ れ る 脆 弱 性 情 報 を 定 常 的 に チ ェ ッ ク し 、重 大 な 脆 弱 性
に対応するセキュリティパッチの適用を速やかに行う必要があ
る が 、適 用 作 業 に 伴 う シ ス テ ム 停 止 等 の 影 響 等 の 懸 念 か ら 、機 構
においてはその実施が先延ばしされていた。
本 事 案 で は 、第 三 段 階 の 攻 撃 に お い て 、既 知 の 脆 弱 性 が 突 か れ
た こ と に よ り 、機 構 LAN シ ス テ ム の デ ィ レ ク ト リ サ ー バ の 管 理 者
権 限 が 窃 取 さ れ て い る 。こ の 脆 弱 性 は 昨 年 以 来 指 摘 さ れ て い た も
の で あ り 、重 要 な 脆 弱 性 に 対 す る セ キ ュ リ テ ィ パ ッ チ の 適 用 の 遅
れがこのような結果を招いた。
ま た 、 機 構 LAN シ ス テ ム の 端 末 に お け る 管 理 者 ID と パ ス ワ ー
ド が 全 て 同 一 で あ っ た こ と に よ り 、短 時 間 に 広 範 囲 の 端 末 へ の 感
染 が 拡 大 し た 。管 理 者 権 限 の 適 切 な 管 理 が 不 十 分 で あ っ た と 考 え
られる。
②
システム監視の不十分性
機 構 LAN シ ス テ ム に お け る シ ス テ ム 監 視 は 標 的 型 攻 撃 に 対 し
て 不 十 分 な も の で あ っ た 。機 構 LAN シ ス テ ム に お い て は 、メ ー ル
及 び イ ン タ ー ネ ッ ト ア ク セ ス の ロ グ の 採 取 は 実 施 し て い た が 、監
視（ モ ニ タ リ ン グ ）は 常 時 行 わ れ て い た わ け で は な か っ た 。ま た 、
取 得 さ れ た ロ グ 情 報 の 項 目 も 、攻 撃 の 詳 細 を 把 握 す る に は 不 十 分
なものであった。
さ ら に 、管 理 者 権 限 に よ る シ ス テ ム の 操 作 履 歴 や 各 種 サ ー バ の
挙動も監視されていなかった。
こ れ ら の シ ス テ ム 監 視 が 十 分 に な さ れ な か っ た 結 果 、攻 撃 の 各
段階において状況を把握するために相当の時間を要することと
なった。
③
インシデント発生時の感染機器のフォレンジック調査の未実
施
機構は、5 月 8 日に標的型攻撃を 4 時間にわたって受けた際、
感 染 端 末 等 に 対 す る フ ォ レ ン ジ ッ ク 調 査 を 行 っ て い な か っ た 。こ
のため、次の攻撃を予測し対策を講ずることができなかった。
イ ン シ デ ン ト 発 生 時 に フ ォ レ ン ジ ッ ク 調 査 を 行 う こ と で 、マ ル
28
ウ ェ ア を 用 い て 攻 撃 者 が 機 器 を 操 作 し た 状 況 が 明 ら か に な り 、サ
ーバまたは他の端末への感染の拡大の有無や窃取された情報な
ど を 推 定 す る こ と が 可 能 に な る 。こ の 調 査 結 果 に 基 づ き 、感 染 拡
大のリスクに最大限の注意を払って事象の全容を把握する必要
が あ る が 、本 件 対 応 に お い て は こ う し た 視 点 が 欠 落 し て い た と い
わざるを得ない。
３
厚生労働省における要因
(1)
情報セキュリティ体制の脆弱性
情 報 セ キ ュ リ テ ィ 事 案 に 対 処 す る 政 府 の 体 制 は 、 NISC－ 厚 労 省
－各部局－年金機構などの特殊法人等、という情報連絡の流れを
想定して構築されている。この流れにおいて、連絡のハブの役割
を果たす情参室は、情報政策等の業務に加えて情報セキュリティ
を担当する所掌となっている。
ところが、情参室のセキュリティ担当の係は、通常の人事ロー
テーションの中で勤務する職員で構成されていた。同係はサイバ
ー攻撃に対するルール整備や研修・訓練の実施も担っていたもの
の、実質わずか 1 名の限られた体制の中でマイナンバー制度の施
行等多岐にわたる業務を抱えていたこともあり、専門的知見や人
員 数 な ど の 面 で み る と 、そ の 情 報 シ ス テ ム の 規 模 と の 比 に お い て 、
到底十分といえる体制とは言い難かった。
厚 労 省 内 に お け る 専 門 家 と し て は 、CIO 補 佐 官 5 名 が 配 置 さ れ て
いたが、いずれの者も非常勤であり、かつ、システム刷新業務や
調達業務などに加えて情報セキュリティを助言するという状況で
あったため、インシデントの報告が事後的になるケースが多かっ
たなど、情報セキュリティに関して情参室の担当者等と緊密な連
携はとれていなかった。
CSIRT 体 制 も 定 め ら れ て い る が 、そ の 構 成 員 は 課 室 長 以 上 と な っ
て お り 、技 術 力 を 持 っ た 実 働 要 員 が 充 て ら れ て い た わ け で は な い 。
さ ら に 、厚 労 省 と 関 連 組 織 と の CSIRT 連 携 は な さ れ て い な か っ た 。
こ う し た こ と も あ り 、 NISC－ 厚 労 省 － 機 構 間 の 情 報 連 携 及 び イ ン
シデント対応に遅れを生じることとなった。
(2)
機 構 LAN シ ス テ ム に 対 す る 監 督 体 制 の 欠 落
厚労省には、情参室、年金局事業企画課、年金局事業管理課の
29
各 課 室 が あ る が 、厚 生 労 働 大 臣 の 監 督 下 に あ る は ず で あ る 機 構 LAN
について、どれがその監督権限があるかが不明確であり、どの課
室 も 自 ら に 監 督 権 限 が あ る と の 意 識 が な い 。 こ れ で は 、 機 構 LAN
で何らかの危機的事態があったとしても適切な指揮監督ができな
いのはやむを得ない。
(3)
情報連絡の遅延
厚労省においては、情参室に省内及び傘下の特殊法人等のサイ
バー攻撃に関する情報が報告されることになっている。しかし、
その報告は、インシデントが収まってから書面でなされることが
多く、肝心な場合には後手に回り適時適切な対応をすることがで
き な い 。 そ の た め 、 配 置 さ れ て い た CIO 補 佐 官 の 知 識 を 十 分 に 生
かすことができなかった。今回の標的型攻撃での対応はその典型
例である。
４
(1)
4 月 22 日 に 関 す る 指 摘
平 成 27 年 5 月 8 日 以 降 に 発 生 し た 機 構 に 対 す る 本 件 標 的 型 攻 撃
は 、こ れ に 先 立 つ 同 年 4 月 22 日 に 発 生 し た 厚 労 省 に 対 す る 標 的 型
攻撃と類似の手口によるものであった。
平 成 27 年 4 月 22 日 の 標 的 型 攻 撃 は 、厚 労 省 年 金 局 及 び 地 方 厚
生 局 を 対 象 と し た も の で あ り 、メ ー ル を 受 信 し た 職 員 が 標 的 型 メ
ー ル を 閲 覧 し 、添 付 フ ァ イ ル を 開 封 し た こ と か ら 、職 員 の 端 末 が
感 染 し た 。こ の 結 果 、C&C サ ー バ に 対 す る 不 正 な 通 信 が 発 生 し た 。
こ の 通 信 の ア ク セ ス ロ グ に よ れ ば 、 各 ア ク セ ス は 、 GET メ ソ ッ ド
と い わ れ る 、 外 部 か ら 情 報 を 取 得 す る 命 令 文 に よ る HTTP 通 信 で
あ る も の の 、不 明 な 文 字 列 が 付 加 さ れ て い る な ど の 特 徴 が あ っ た 。
こ の 不 正 な 通 信 は 、 NISC か ら の 通 知 を 受 け た 厚 労 省 に お い て
URL ブ ロ ッ ク を 行 っ た こ と に よ り 、 通 信 発 生 の 約 2 時 間 後 に 遮 断
された。
攻 撃 者 は 、次 な る 攻 撃 を 検 討 し 、機 構 が 狙 わ れ る に 至 っ た も の
と 考 え ら れ る 。4 月 22 日 に 感 染 し た 端 末 が 通 信 を 行 っ た C&C サ ー
バのドメインは、5 月 8 日に機構において感染した端末が通信を
行 っ た C&C サ ー バ と 同 一 で あ り 、サ ブ ド メ イ ン の み が 異 な る も の
で あ っ た 。 し た が っ て 、 仮 に 4 月 22 日 の 段 階 で 、 厚 労 省 統 合 ネ
ッ ト ワ ー ク に お い て 、ド メ イ ン 単 位 で の URL ブ ロ ッ ク を 実 施 し て
30
い れ ば 、 5 月 8 日 に 発 生 し た 同 一 ド メ イ ン の C&C サ ー バ に 対 す る
機構との不正な通信は防ぐことができた。
現 実 に は 4 月 22 日 の 時 点 で 厚 労 省 に お い て 実 施 し た URL ブ ロ
ッ ク は サ ブ ド メ イ ン 単 位 の も の で あ り 、ド メ イ ン 単 位 で の URL ブ
ロックを実施したのは後述するとおり 5 月 8 日に至ってからであ
った。
(2)
厚 労 省 に お い て は 、先 に 述 べ た と お り 、本 件 標 的 型 攻 撃 に 先 立
つ 4 月 22 日 に 、 本 事 案 と 類 似 の 手 口 に よ る 標 的 型 攻 撃 を 受 け 、
そ の 際 の 攻 撃 に 用 い ら れ た マ ル ウ ェ ア に つ い て 、NISC か ら は 感 染
した場合には被害が大きくなる可能性があるとの情報を得てい
た 。し か し な が ら 、5 月 8 日 の 段 階 で 、厚 労 省 か ら 機 構 に 対 し て 、
何ら情報提供が行われなかった。
そ の た め 、機 構 に お い て も 、本 件 が 、厚 労 省 や そ の 関 係 機 関 を
狙った一連の標記型攻撃の一環であるとの着想に至らなかった。
○
「日本年金機構における個人情報流出事案に関する原因究明調査
結 果 」 （ 内 閣 サ イ バ ー セ キ ュ リ テ ィ 戦 略 本 部 平 成 27 年 8 月 20 日 ）
指摘事項
１
CSIRT(情 報 セ キ ュ リ テ ィ イ ン シ デ ン ト 対 応 チ ー ム )の 運 用 等 に 関
する検討
(1) CSIRT の 運 用 に 関 す る 検 討
政 府 機 関 の 情 報 セ キ ュ リ テ ィ イ ン シ デ ン ト (以 下「 イ ン シ デ ン ト 」
と い う 。 )に 備 え た 体 制 は 、「 政 府 機 関 の 情 報 セ キ ュ リ テ ィ 対 策 の
た め の 統 一 基 準 」(平 成 26 年 5 月 19 日 情 報 セ キ ュ リ テ ィ 政 策 会 議
決 定 )(以 下 「 政 府 統 一 基 準 」 と い う 。 )に お い て 、 情 報 セ キ ュ リ テ
ィ イ ン シ デ ン ト 対 応 チ ー ム (CSIRT)を 整 備 し 、以 下 の 事 項 を 含 め て 、
その役割を明確にすること等を規定している。
イ ン シ デ ン ト を 認 知 し た 際 に 、CISO や NISC に 報 告 す る こ と (政
府 統 一 基 準 2.1.1(6)(c)、 2.2.4(2)(b)及 び 2.2.4(2)(f))
イ ン シ デ ン ト 発 生 時 に 、CISO や NISC 等 へ の 連 絡 の た め 、各 府
省 庁 に お い て 報 告 窓 口 を 含 む 報 告 ・ 対 処 手 順 を 整 備 す る こ と (政
府 統 一 基 準 2.2.4(1)(a))
CSIRT に 属 す る 職 員 に つ い て は 、専 門 的 な 知 識 又 は 適 性 を 有 す
る と 認 め ら れ る 者 を 選 任 す る こ と (政 府 統 一 基 準 2.1.1(6)(b))
31
厚労省は、政府統一基準に準拠して情報セキュリティポリシーを
定める必要があるが、特殊法人である機構は、政府統一基準の適用
対象とされていない。ただし、情報セキュリティ対策は、それに関
わる全ての行政事務従事者が、職制及び職務に応じて与えられてい
る権限と責務を理解した上で、負うべき責務を全うすることで実現
される。そのため、それらの権限と責務を明確にし、必要となる組
織 ・ 体 制 を 整 備 す る 必 要 が あ る (政 府 統 一 基 準 2.1.1)。
このような方針に示されるとおり、厚労省としては、機構が厚労
省の所掌事務である年金事務について厚労省と一体となって業務を
行っていること、また、機構の取り扱う情報が大量の個人情報であ
ることに鑑みれば、可能な限り政府統一基準と同等レベルの情報セ
キュリティ対策が講じられるべく、機構を適切に監督する立場にあ
る。
こ う し た 背 景 を 踏 ま え 、 両 組 織 に お け る CSIRT の 運 用 等 に つ い て
調査・検討を行った。
①
インシデント発生時等の報告・連絡等について
政府統一基準においては、上述のとおり、インシデントに対応
するための体制の整備や、インシデントを認知した際の報告・対
処手順を整備するよう求めている。
厚労省は、政府統一基準に準拠し、情報セキュリティポリシー
を 定 め て お り 、 イ ン シ デ ン ト を 認 知 し た 際 は 、 CISO(官 房 長 )及 び
NISC に 報 告 す る 旨 規 定 し て い る 。ま た 、 イ ン シ デ ン ト が 発 生 し た
場合の対処及び報告等の手続きについては、インシデント対処の
手 順 書 を 定 め て お り 、統 括 情 報 セ キ ュ リ テ ィ 責 任 者 (情 報 政 策 担 当
参 事 官 )は 、 す べ て の 行 政 事 務 従 事 者 に 周 知 す る こ と と し て い る 。
報告等の手順の概要をまとめると、インシデント発生時等の報
告・連絡については、次のようになっている。
(a)省 内 外 (NISC を 含 む 。)か ら イ ン シ デ ン ト の 発 生 の 連 絡 を 受 け 付
ける情報セキュリティ担当の窓口は、情参室のサイバーセキュ
リティ対策専門官及び情報セキュリティ対策係。
32
(b)行 政 事 務 従 事 者 が 、 イ ン シ デ ン ト を 認 知 し た 場 合 に は 、そ の 者
が所属する課室長等に報告し、課室長等の指示に従う。
(c)当 該 イ ン シ デ ン ト に 係 る 課 室 長 等 は 、CSIRT と 情 報 を 共 有 す る 。
(d)当 該 イ ン シ デ ン ト に 係 る 課 室 長 等 は 、当 該 イ ン シ デ ン ト の 発 生
している当該部局の総括的な課長等に報告し、緊急対応策につ
いての指示をする。
(e)当 該 イ ン シ デ ン ト に 係 る 課 室 長 等 は CISO に 速 や か に 報 告 し 、
CISO は 、 当 該 イ ン シ デ ン ト の 発 生 し て い る 当 該 部 局 の 総 括 的 な
課長等に対して、被害拡大防止等の指示等を行う。
今回のインシデントにおいては、厚労省によれば、セキュリテ
ィポリシーに基づく手順書に基づいた必要な措置は一応とられて
い た が 、責 任 者 へ の 報 告 は な さ れ て い な か っ た と し て い る (今 回 の
インシデントにおいて、機構において発生したインシデントにつ
い て は 厚 労 省 年 金 局 事 業 企 画 課 長 へ の 報 告 、 GSOC か ら の 通 知 に つ
いては情報政策担当参事官への報告が、これに該当すると考えら
れ る 。 )。
なお、機構のセキュリティポリシーにおいては、インシデント
対処体制の必要性を規定し、その具体化はシステム障害対応を主
たる目的としたリスク管理一般の規定等に委ねている。そして、
リスク管理一般の規定においては、リスクの定義、導入、運用、
分析・評価、見直し等の枠組みが規定されているものの、サイバ
ー攻撃を想定した具体的な対応について、明確化されていない。
②
CSIRT 体 制 に つ い て
厚 労 省 の 情 報 セ キ ュ リ テ ィ ポ リ シ ー で は 、CSIRT に 属 す る 職 員 に
つ い て 、 CISO(官 房 長 )、 情 報 政 策 担 当 参 事 官 、 当 該 事 案 に 係 る 部
局 の 総 括 的 な 課 長 及 び 担 当 課 室 長 等 、CISO ア ド バ イ ザ (CIO 補 佐 官 )
を 充 て る と し て い る 。 ま た 、 CSIRT の 庶 務 は 情 参 室 で 行 い 、 CISO
アドバイザは、専門的な知識及び経験に基づき、緊急時における
対応等情報セキュリティ対策全般に対しての助言等を行うことと
している。
今 回 の 事 案 発 生 時 点 に お い て は 、CSIRT が 機 能 す る た め の 前 提 と
な る 報 告 等 が な さ れ て い な か っ た が 、CSIRT の 構 成 員 が 課 室 長 等 以
上 で あ り 、 実 働 要 員 (課 長 補 佐 以 下 の 職 員 )が 選 任 ・ 指 名 さ れ て い
33
なかった点にも留意が必要である。
一方、日本年金機構セキュリティポリシーにおいては、インシ
デント対処の必要性や、その具体的な規定は複数の規程類で規定
している。リスク管理全般については、リスクの定義、導入、運
用、分析・評価、見直し等の枠組みが規定されているものの、サ
イ バ ー 攻 撃 を 想 定 し た 具 体 的 な 対 応 は 明 確 と な っ て い な い 。ま た 、
い ず れ の 規 程 類 に お い て も CSIRT 体 制 に つ い て の 定 め は な か っ た 。
な お 、 機 構 に よ る と 、 平 成 27 年 7 月 10 日 か ら CSIRT 体 制 の 構
築をはじめとしたセキュリティ体制の整備の検討を開始したとし
ている。
(2)
シ ス テ ム へ の 多 重 防 御 (標 的 型 攻 撃 対 策 )に 関 す る 検 討
標的型攻撃とは、特定の組織に狙いを絞り、その組織の業務習
慣等内部情報について事前に入念な調査を行った上で、様々な攻
撃手法を組み合わせ、その組織に最適化した方法を用いて、執拗
に行われる攻撃である。
典型的なものとしては、システム内部に潜入し、侵入範囲を拡
大し、重要な情報を窃取し又は破壊する攻撃活動が考えられる。
①
政府統一基準における対策について
こうした一連の攻撃活動は、未知の脆弱性を悪用する等の手法
も用いて実行されるため、完全に検知・防御することは困難であ
る こ と か ら 、政 府 統 一 基 準 (6.2.4)に お い て 、標 的 型 攻 撃 に よ る 組
織内部への侵入を低減する入口対策のみならず、内部に侵入した
攻撃を早期検知して対処する内部対策、侵入範囲の拡大の困難度
を上げる内部対策及び外部との不正通信を検知して対処する内部
対策から構成される多重防御の情報セキュリティ対策体系によっ
て、標的型攻撃に備える必要があることが示されている。
具体的な対策を示すものとして、「高度サイバー攻撃対処のた
め の リ ス ク 評 価 等 の ガ イ ド ラ イ ン 」(平 成 26 年 6 月 25 日 情 報 セ キ
ュ リ テ ィ 対 策 推 進 会 議 )(以 下 「 リ ス ク 評 価 等 ガ イ ド ラ イ ン 」 と い
う 。 )が あ り 、 そ の 適 用 範 囲 は 、 国 の 行 政 機 関 と 記 述 し て い る 。
②
厚労省等における状況
厚労省においては、厚労省統合ネットワークにおける標的型攻
34
撃に対する多重防御の取組を進めていたが、機構の情報系ネット
ワ ー ク は 、リ ス ク 評 価 等 ガ イ ド ラ イ ン の 取 組 の 対 象 と し て お ら ず 、
標的型攻撃に対する多重防御の取組が十分でなかった。
さらに、標的型攻撃からの有効な遮断機能を有すると考えられ
るインターネットに接続していない業務系から、インターネット
に接続をしている情報系に個人情報を移して取り扱っていたため、
標的型攻撃を受けるリスクに当該個人情報をさらす結果となった。
○
「不正アクセスによる情報流出事案に関する調査結果報告」（日
本年金機構不正アクセスによる情報流出事案に関する調査委員会平
成 27 年 8 月 20 日 ） に お い て 構 造 的 な 要 因 と さ れ た 事 項 等
１．インシデントへの対応体制
＜要因＞
○
本 事 案 の 5 月 8 日（ 金 ）以 降 の 一 連 の 対 応 に つ い て は 、CIO（ シ
ステム部門担当理事）と情報セキュリティ担当部署の部長、グル
ープ長及び担当者がラインとして対応してきましたが、その対応
体制について、以下の問題がありました。
①
基 本 的 対 応 は 担 当 者 任 せ と な っ て お り 、CIO（ シ ス テ ム 部 門 担
当理事）や部長から、当該担当者の判断について、判断根拠の
確 認 や 具 体 的 指 示 を 行 っ た 事 跡 は 確 認 で き て い ま せ ん 。5 月 8 日
（金）の第 1 次攻撃の際、担当者からは標的型メール攻撃の疑
いが提起されましたが、担当ラインは特に対応について指示を
行わず、また、その後の具体的な対策についても指示を行いま
せんでした。
②
理事長、最高情報セキュリティ責任者（副理事長）への報告
が適時適切に行われない場合があり、組織として迅速な対応が
行われていませんでした。
③
本事案を担当してきたラインに情報セキュリティに関する専
門的な知識及び経験を有する職員がおらず、また、セキュリテ
ィアドバイザーに任命されていた担当者も他の業務に当たって
いたことから、ラインにおいて必要な対応・判断ができません
でした。
④
情報セキュリティ担当部署と契約担当部署が異なり、責任の
所在が不明確で連携が不十分となっていました。これら両部門
の 連 携 を 図 る こ と 、 あ る い は 組 織 の 統 合 を 検 討 す る こ と は CIO
35
（システム部門担当理事）の役割でありましたが、具体的な行
動はとられていませんでした。
２．共有ファイルサーバの管理
＜要因＞
○
そもそも、パスワード設定などのセキュリティ対策が条件となっ
てはいるものの、個人情報をインターネット接続環境下に置くシス
テム設計に問題がありました。
○
また、共有ファイルサーバがインターネット接続環境下に設置さ
れているというリスク認識が甘かった文書管理担当部署において、
共 有 フ ァ イ ル サ ー バ の 運 用 ル ー ル が 定 め ら れ て い ま し た 。こ の た め 、
外部からの攻撃に対する対策に関して十分な検討が行われず、パス
ワード又はアクセス制限の設定といった内部からの脅威に重点を置
いた情報セキュリティ対策となっていました。外部からの攻撃に対
し、アクセス制限が有効でないことが本事案で明らかとなっていま
す。
○
一方、情報セキュリティ担当部署では、インターネット接続環境
下にある共有ファイルサーバ内に個人情報が置かれている実態、リ
スクを認識していましたが、具体的な指摘・提言はしておらず、対
処策の検討も特にしていませんでした。共有ファイルサーバの運用
ルールの共同所管部署として果たすべき役割が果たされていません
でした。
○
さらに、運用ルールを定めていた文書管理担当部署において、共
有ファイルサーバの運用ルールが本当に実行されているかなどの点
検・確認が適切に行われておらず、運用ルール自体が有名無実化し
ていました。
３．情報セキュリティポリシー等
＜要因＞
○
情 報 セ キ ュ リ テ ィ ポ リ シ ー は 、厚 生 労 働 省 の 情 報 セ キ ュ リ テ ィ ポ
リ シ ー に 沿 っ て 制 定・改 正 し て き ま し た が 、そ の 改 正 に 遅 れ が あ り 、
標的型メール攻撃に対する基本的対策事項等に関する記載が不足
し て い ま し た 。ま た 、標 的 型 メ ー ル 攻 撃 に 対 す る イ ン シ デ ン ト 手 順
書も作成されていませんでした。
○
当 機 構 で は 、膨 大 な 個 人 情 報 を 保 有 し て い る に も か か わ ら ず 、厚
36
生労働省の改正内容を受け身で情報セキュリティポリシーに後追
い で 反 映 さ せ る の み で 、職 員 研 修 や 訓 練 が 行 わ れ て い ま せ ん で し た 。
膨 大 な 個 人 情 報 を 保 有 し て い る と い う 緊 張 感 が 欠 如 し て お り 、こ れ
まで、役員を含め、精緻な検討・議論がされていませんでした。
４．職員研修
＜要因＞
○
情報セキュリティ研修における研修テーマや教材などの研修内容
に関しては、実質的に担当者レベルで決定されており、情報セキュ
リティ担当部署として、その効果に責任を持った意思決定が行われ
ていませんでした。
５．ガバナンス・組織風土のゼロベースからの抜本改革
＜要因＞
○
組織の上層部に情報が集約されず、定めたルールが組織内に正
確・迅速に伝わらないといったように、組織としての一体感が不足
しているという従来からの問題点が解消されていませんでした。
○
監督者である厚生労働大臣・厚生労働省と問題共有をする意識、
国から厳正な業務執行を請け負っているとの自覚が不足していまし
た。また、重層的な情報共有のルールがありませんでした。
○
個人情報流出に関するお客様への説明誤りの件についても、本事
案の重大性に鑑みれば、ただちに厚生労働省に報告するとともに、
速やかに公表すべきでしたが、通常の事務処理誤りの対応と同様と
して個別対処を完了させた後に、月末の定例報告で足りるとしたの
は、一部幹部の思い込みにより招いた失態でした。
37