外から使える管理機能や、使わなくなった認証情報は残っていないか。JPCERTの注意喚起は、利用者のログイン画面以外も点検対象に挙げています。
不要な機能と権限を絞り、保存するデータも必要性を確認
一般社団法人JPCERTコーディネーションセンターは2026年10月8日、国内で続く不正アクセスへの注意喚起を公開し、10月23日に更新しました。案内する対策は、一般利用者向けのWeb画面だけに限りません。従業員向けや管理者向けのWeb機能、外部から情報を取得するAPIなどについても、利用状況を踏まえた点検を促しています。公共サービスの担当者にとっても、住民向けの入口と、その裏側の業務用の入口を分けて確認するための資料となります。
具体策には、ログインやパスワード再設定、SMS送信、検索などへのアクセス回数の制限があります。公開する必要のないAPIにはアクセス制御を施し、認証用のトークンは権限を必要最小限にして有効期限を設け、使っていないものを無効化する対応を示します。管理機能のうち外部公開が不要なものも公開範囲を絞ります。利用地域が限られるサービスでは接続元の地域制限も選択肢です。ソフトウェアの脆弱性への対応も、これらと並行して確認する事項としています。
侵入を防ぐ対策に加え、侵入後に別の機器へ被害が広がることを抑え、異常を検知して初動に移る仕組みも案内しています。保存データについては、契約や法令で必要な期間に留意しつつ、利用しなくなった情報を消去する対応を挙げています。全ての事案が一つの欠陥で起きたと断定する注意喚起ではありません。担当するシステムごとに、公開機能、認証情報、保管データ、監視と初動の体制を順に点検する内容です。具体的な対策の適用範囲は、それぞれのサービス構成に応じて判断します。
詳しくは「一般社団法人JPCERTコーディネーションセンター」の公式ページまで。
レポート／DXマガジン編集部
