cles::blog

通常国会が招集されましたが、今国会では能動的サイバー防御関連の法案は提出見送りになったようです。

国家安全保障戦略で「武力攻撃に至らないものの、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合、これを未然に排除する」と明記されていました。
憲法で定められている通信の秘密の問題をどうするかというはありますが、NISC の改組とかどうするんでしょうかね。

サイバー攻撃対処、法案提出見送り　「通信の秘密保護」懸念ぬぐえず [岸田政権]：朝日新聞デジタル

海外でサーバーに侵入し攻撃することなどで、国や重要インフラへのサイバー攻撃を防ぐ「能動的サイバー防御」導入で、政府は当初検討していた通常国会への関連法案提出を見送る。「通信の秘密」を保障する憲法21条との兼ね合いなど、法解釈をめぐる調整が難航。

インターネットの安全・安心ハンドブックが第 5 版になっていたのでメモ。

すっかり忘れていましたが、今年も NISC が主催する2023年サイバーセキュリティ月間が始まっているんですよね。2016 年頃から攻殻機動隊や SAO などのアニメやゲームとのコラボをやっていましたが、さすがにネタ切れになったのか今年はそういうのはないみたいですね。

インターネットの安全・安心ハンドブック - NISC

内閣サイバーセキュリティセンター（NISC）では、サイバーセキュリティに関する普及啓発活動の一環として、「インターネットの安全・安心ハンドブック」を公開しています。みんなが安心して使えるネット社会を実現するためには、その時々のサイバーセキュリティに関する正しい知識を身に付け、実行するとともに、家族や友人など身の回りの人達にも伝えていくことが大切です。本ハンドブックは、みなさんにサイバーセキュリティに関する基本的な知識を紹介し、誰もが最低限実施しておくべき基本的なサイバーセキュリティ対策を実行してもらうことで、更に安全・安心にインターネットを利活用してもらうことを目的に制作したものです。

学術関係者を標的としたサイバー攻撃について警察庁と NISC が注意喚起をしています。

それにしては周りでもあまりそういう話は聞かないな・・・と思って調べてみたら、安全保障、国際政治、経済、エネルギーなどを専門とする人が狙われている^*1*2ようです。分野的に考えると、いずれかの国家が関与している諜報活動の一環と考えるのが妥当なところでしょうか。国家主導型のサイバー攻撃（諜報活動）の場合だと、単純な経済犯罪と違って費用対効果の考え方が効かないことがあり、攻撃者に対してある程度コストがかかるような施策をしたとしても攻撃にさらされ続けるというのが非常に厄介です。そのような分野の教員を抱えている大学は頭がいたいでしょうね。

学術関係者・シンクタンク研究員等を標的としたサイバー攻撃について（注意喚起）（警察庁サイバー警察局、内閣サイバーセキュリティセンター）

近年、日本国内の学術関係者、シンクタンク研究員、報道関係者等に対し、講演依頼や取材依頼等を装ったメールをやりとりする中で不正なプログラム(マルウェア)を実行させ、当該人物のやりとりするメールやコンピュータ内のファイルの内容の窃取を試みるサイバー攻撃が多数確認されています。

† 参考

• 学術関係者・シンクタンク研究員等を標的としたサイバー攻撃について（注意喚起）｜警察庁Webサイト
• 標的型サイバー攻撃、不審メールにご注意ください！

• ^*1: 学者らサイバー攻撃数十件　３年間、安全保障分野標的 - 産経ニュース
• ^*2: 大学教授らにサイバー攻撃数十件　１９年以降、安全保障など専門―情報窃取目的か、警察庁が注意喚起：時事ドットコム

金融庁、警察庁、内閣サイバーセキュリティセンターが共同で Lazarus（ラザルス） について注意喚起を行っていたのでメモ。
Lazarus は北朝鮮と関連があると言われているサイバー犯罪グループですね。

国がこういう情報を一般に向けて公表するということは何か明確な攻撃兆候があるとみて間違いないと思います。
特にソーシャルエンジニアリングは防御が難しいので、企業にとっては頭が痛い問題になりそうです。

北朝鮮当局の下部組織とされるラザルスと呼称されるサイバー攻撃グループによる暗号資産関連事業者等を標的としたサイバー攻撃について（注意喚起）

このサイバー攻撃グループは、
・ 標的企業の幹部を装ったフィッシング・メールを従業員に送る
・ 虚偽のアカウントを用いた SNS を通じて、取引を装って標的企業の従業員に接近する
などにより、マルウェアをダウンロードさせ、そのマルウェアを足がかりにして被害者のネットワークへアクセスする、いわゆるソーシャルエンジニアリングを手口として使うことが確認されています。

今年もサイバーセキュリティに関する普及啓発を強化するためのサイバーセキュリティ月間（ 2 月 1 日～ 3 月 18 日）がスタートしました。

毎年アニメとのタイアップが話題ですが、今年はマクロス40周年^*1とコラボということになっています。

攻殻機動隊やソードアート・オンライン (SAO) とタイアップしたときは、なるほどと思いましたが、最近はなんというかネタ切れしてるというか、マンネリ化しているような感じもしますね。

† 参考

• 2022年サイバーセキュリティ月間 - NISC
• サイバーセキュリティ月間における松野内閣官房長官メッセージ | 令和4年 | 内閣官房長官談話など | ニュース | 首相官邸ホームページ

• ^*1: 「マクロス40周年」×「2022年サイバーセキュリティ月間」 コラボレーション決定！ 超時空サイバーセキュリティ特番 3月13日（日）19時 YouTubeプレミア公開決定！！ - MACROSS PORTAL マクロスポータル(公式)

NISC が政府機関等における情報システム運用継続計画ガイドライン（第３版）を公開していました。
以下にあるように今回は新型コロナ関連の内容が盛り込まれたというのが大きな変更点のようです。

「政府機関等における情報システム運用継続計画ガイドライン」の改定について

感染症の流行及び技術動向の変化に係る内容を追加し、利便性向上を目的に構成を見直しました。また、「政府機関等の情報セキュリティ対策のための統一基準群（平成30年度版）」との整合性を図り、対象組織に独立行政法人及びサイバーセキュリティ戦略本部が指定する法人を加えました。

毎年、アニメやゲームとコラボしている NISC のサイバーセキュリティ月間ですが、今年はラブライブ！サンシャイン!!とタイアップするようです。

このタイアップ企画、始まった頃は攻殻機動隊やソードアート・オンラインのようなサイバーなアニメが多かったのですが、最近は弾切れなのかもう直接的なセキュリティは関係ない感じになっていますね。まぁプロモーションなので話題になっていろいろなところに広まればOKという感じなのかもしれませんけど。

『ラブライブ！サンシャイン!!』と内閣サイバーセキュリティセンターがタイアップ

タイアップキーワードは、「みんなで叶えるセキュリティ！」です。これは、『ラブライブ！』シリーズ全体を貫く「みんなで叶える物語」というキーワードと呼応し、サイバーセキュリティは全員参加で意識・理解を醸成し実現することが重要との趣旨を表しています。また、本作品は学校生活という日常が舞台であることから、サイバーセキュリティを身近な事として考えてみて頂きたいという想いも込めています。

NISC が重要インフラ事業者等に向けてランサムウエアによるサイバー攻撃についての注意喚起を出していたのでメモ。
ランサムウェアに対する対応は単に「気をつける」という心の準備ではなく、以下の注意喚起に例示されているとおり予防・検知・対応・復旧の各フェーズについてあらかじめ具体的なプランニングをしておく必要があります。

• ランサムウエアによるサイバー攻撃について【注意喚起】

† 参考

• NISC、ランサムウェアによるサイバー攻撃に注意喚起 | ScanNetSecurity

NISC がサイバーセキュリティ関係法令 Q＆A ハンドブックを公開していたのでメモ。内容は個人情報保護法、不正競争防止法、労働法関連などサイバーセキュリティというよりも、広く企業の秘密保持にかかわる問題が網羅されているという印象です。

インターネットの安全・安心ハンドブック（旧・ネットワークビギナーのための情報セキュリティハンドブック）、小さな中小企業とNPO向け情報セキュリティハンドブックに続く３つめのハンドブックということになります。

サイバーセキュリティ関係法令Q＆Aハンドブック[みんなでしっかりサイバーセキュリティ]

企業における平時のサイバーセキュリティ対策及びインシデント発生時の対応に関する法令上の事項に加え、情報の取扱いに関する法令や情勢の変化等に伴い生じる法的課題等を可能な限り平易な表記で記述したものとして作成しています。

いつの間にか NISC が「小さな中小企業とNPO向け情報セキュリティハンドブック」という PDF 書籍を公開していました。

同じく NISC が公開している インターネットの安全・安心ハンドブックはいわゆる一般の人向けの内容でしたが、この資料は中小企業とNPOなどのいわゆる会社でサイバーセキュリティを考える上での資料として企画されたもののようです。

小さな中小企業とNPO向け情報セキュリティハンドブック[みんなでしっかりサイバーセキュリティ]

サイバーセキュリティに関する必要性は感じていても、どこから取り組んで良いか分からないという方々に、広くご覧いただき、国民全体としてサイバーセキュリティを公衆衛生のレベルに高められるように、協力頂きたいと思います。