（画面はNISCのWebサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。
（オプティマ・ソリューションズ株式会社・代表取締役）　

政府は、サイバーセキュリティ基本法が施行された2015年から、毎年2月の第一稼動日を「サイバーセキュリティの日」、2月を「サイバーセキュリティ月間」と決めて、様々な啓発活動などを開催しています。

今年も、官民の様々なサイバーセキュリティに関するイベントをこの時期に集中的に開催し、政府からも情報発信することで、国民のサイバーセキュリティに対する関心を高めようとしています。

告知サイトに「サイバーセキュリティ対策9か条」として、日常生活で注意する点を分かりやすく解説して掲載しています。

https://security-portal.nisc.go.jp/cybersecuritymonth/2023/

（私のコメント）
情報化社会の進展により、サイバーセキュリティの重要性は、日々ますます高まっています。このよういな形で政府もサイバーセキュリティの啓発を行うことの意味は大きいと思います。全国で様々なイベントが開催されるようです。皆さんも参加してみてはいかがでしょうか？

この内容が皆さんにとって何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

（写真は東海道新幹線の車窓から見えた富士山です）

新年あけましておめでとうございます。
プライバシーザムライ中康二です。

新春恒例の個人情報保護・情報セキュリティ10大ニュースをやってみたいと思います。

（10）【ISMS】取得事業者数が7000社を突破
景気のよいニュースから行きましょう。ISMS認証の取得事業者数が9月に7000社を突破しました。ISMSは部署限定で取得できることのメリットが幅広く認知されてきたようで、認証取得事例が増加し続けています。
　


（９）ビッグサイトや幕張メッセでのリアルイベントが再開
新型コロナやオリンピックの影響により、情報セキュリティに関連したリアルイベントの開催が縮小していましたが、ようやく復活の兆しが見え始めています。
　


（８）しぶとく蔓延するエモテット
本拠地が摘発され、サーバーが停止したはずのエモテットが再始動。暗号化ZIP圧縮したファイルを添付するなど、日本企業を狙い撃ちにしたものも登場し、蔓延が続きました。
　


（７）【個情法改正】個人情報の海外移転の規制が強化
4月に個人情報保護法（個情法）が改正され、個人情報の海外移転の規制が強化されました。委託もこの対象に含まれることから、海外の企業へ個人情報の取扱いを委託することのハードルがかなり高くなりました。
　


（６）破産者情報公開サイトにPPCが停止命令
官報に記載された破産者の情報を地図上にマッピングして一覧できるようにしているWebサイトに対して、個人情報保護委員会（PPC）が11月に停止命令を出しました。改正法の第19条（不適正な利用）の初適用になるのではないかと思われます。
　


（５）マイナンバーカードの利用が広がる
マイナンバーカードの普及率が高まり、マイナポータルの使い勝手も改善されてきました。専用のカードリーダーを使うのではなく、スマホで読み取らせる方式が定着し、民間での利用事例も増えてきました。
　


（４）ランサムウェア被害が広がる
つるぎ町立半田病院に続き、大阪急性期・総合医療センターでもランサムウェアにより電子カルテが使えなくなり通常の運営ができない事態となりました。病院以外でもランサムウェアの被害が多発しました。
　


（３）【個情法改正】漏えい時のPPC報告と本人通知が義務化
個情法改正からもう一つランクイン。個人情報を漏えいした場合のPPC報告と本人通知が義務化されました。特にPPC報告は5日以内の「速報」と30日以内の「確報」と期限が指定されたこともあり、事業者としては事前に準備しておくことが求められています。
　


（２）【ISMS】審査基準であるISO27001が改訂される
2022年は法改正、規格改訂の年でした。ISMSの審査基準が改訂され、ISO27001：2022になりました。情報セキュリティ対策を規定する附属書Aが全面改訂されたため、少なくとも適用宣言書を作り直さないと審査に通過できません。ただし猶予期間が3年ありますので、その間に対応してください。
　


（１）【Pマーク】新審査基準2022による審査が始まる
そしてプライバシーマークの審査基準も全面改訂されました。今回は法改正の対応に加えて、JIS Q15001の規格本文も取り込むために「J」から始まる新しい文書体系を採用しました。基本規程の書き換えが必須です。こちらは移行期間はなく、次の審査までに対応が必須です。
　


この情報が、皆様にとって何かの参考になればと思います。

今年もよろしくお願いいたします。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

（画像は同社CEOのBlogをDeepL翻訳で日本語にしたものです）

皆さんこんにちは。
プライバシーザムライ中康二です。

今のクラウド時代においては、複数のサービスに同じパスワードを使いまわしすることは最も危険な行為となりますから、それを避けるためにはいわゆる「パスワード管理ツール」を使うことが必須となります。パスワード管理ツールを使うことで、私たちは記憶の限界を超えて、一つ一つのサービスごとに異なるパスワードを保存できるのです。

そのため、現在たくさんのパスワード管理ツールが存在していますが、そこには利用者のアカウントとパスワードが保存されていることから、常に不正アクセスの対象とされ、提供事業者は不正アクセスとの戦いを続けることになります。

その中の一つに「LastPass」というパスワード管理ツールがあります。

LastPassは、10年以上の歴史を持ち、ほとんどのブラウザで使用できて、スマホアプリもあるため、かなり利用者が多いパスワード管理ツールのひとつです。

このLastPassに対しても、過去から不正アクセスが何回も試みられ、その度にLastPass社は「利用者の登録したアカウントとパスワードは流出していない」との説明を行ってきました。

この流れが変わったのが、2022年8月にソースコードが流出したことです。ソースコードというのは、プログラムそのものの元となるテキストファイルのことで、これを解析すれば、どこに穴があるのか、どういう攻撃をすれば不正アクセスが可能になるかを知ることができるものです。

ソフトウェアの世界には二つの考え方があります。一般的にLastPassのような商業ソフトウェアはソースコードを非公開にすることで不正アクセスを防ぐという考え方を採用しています。一方で、オープンソースというソフトウェアはむしろソースコードを公開することで、みんなで問題をつぶしていって完成度を高めていくというものです。

LastPassの場合は、本来非公開のはずのソースコードが流出してしまったのですから、どこから攻撃を受けてもおかしくない状態になっていたと思います。

そしてそれが現実のものになりました。2022年12月、LastPass社は自社のバックアップサーバに不正アクセスがあり、利用者の登録したアカウントとパスワードなどを含むバックアップファイルが漏洩したと発表しました。

ただし、利用者が登録したアカウントとパスワードなどの情報は、利用者のマスターパスワードで暗号化されており、利用者のマスターパスワードはLastPass社としても保存していないことから、悪用される心配はないと説明しています。

とはいえ、LastPass社のセキュリティが大変危うくなっていることに変わりはありません。同社では2022年8月のソースコード流出以降、開発環境を再構築したり、様々な対策を取っているとしていますが、ソースコードが流出している以上、不正アクセスとの戦いにおいて劣勢は避けられないと思います。

結論として、私としては今後、Lastpassの利用は推奨しないものとします。現在利用されている方も早めに他のパスワード管理ツールに移行されることをお勧めします。

https://blog.lastpass.com/2022/12/notice-of-recent-security-incident/

皆様にも何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

※なお、利用者の方にはアカウント削除をおススメしたいところですが、どうもアカウント削除をしようとするとうまく画面が出てこない場合があるようです。その場合にはアカウント「リセット」という機能を使うことで、登録したパスワード情報を一括消去してくれるようです。ご参考まで。

（画像はセキュリティネクストより）

皆さんこんにちは。
プライバシーザムライ中康二です。

現在進行しているウクライナ戦争に関し、日本政府がロシアに対する経済制裁に参加し、ロシアに敵対しているとの見方から、ロシアのハッカー集団が日本のWebサイトに対する攻撃を実施し、実際にアクセスできなくなるなどの被害が出ているようです。

今回自ら攻撃していると公言しているハッカー集団は「Killnet」と名乗っており、ロシア系のSNSサービスTelegram上で情報発信しています。その中では「日本政府に対する宣戦布告」という言葉を使っていますが、実際には、e-GOV／eLTAXなどの政府関係サイトだけではなく、JCB／mixi／東京メトロ／大阪メトロなど政府関係ではないWebサイトにも攻撃を仕掛けているため、民間企業としても要注意です。

ただし、手法として用いられているのは、不必要な通信をサーバーに大量に送信することによりサーバーの正常動作を阻む「DDos攻撃」に留まっており、一定時間で攻撃が終了すると、サーバーは正常動作を取り戻しているようです。また、ネットワークへの侵入やサービス停止、情報流出などは確認されていないようです。

セキュリティネクストの関連記事
https://www.security-next.com/139562

piyologの解説記事
https://piyolog.hatenadiary.jp/entry/2022/09/07/025039

（私のコメント）
現代の戦争においては、正規軍によるサイバー攻撃だけではなく、今回発生しているような得体の知れないハッカー集団によるサイバー便乗攻撃が何度も発生しています。日本政府／日本企業としては、今後も警戒態勢を取っていただきたいと思います。

皆様にも何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

（画像はフォーカス台湾より）

皆さんこんにちは。
プライバシーザムライ中康二です。

米国のペロシ下院議長の台湾訪問を受けて、中国政府は猛反発を見せていますが、その中で、サイバー攻撃を受けて、台湾の駅の大型モニタに反ペロシの内容のメッセージが表示されていたとのことです。

これを受けて、台湾政府としては、中国製通信機器の使用禁止の範囲を拡大する方針とのことです。

https://japan.focustaiwan.tw/politics/202208070003

（私のコメント）
中国政府のみならず、世界の各国がサイバー軍を創設し、様々なサイバー攻撃を行っていることは私もよく知っていたつもりです。そして、このような状況を背景に、米国政府は、ファーウェイなど中国企業の通信機器を国全体から排除し、同盟国にも同様の措置を呼びかけているということも知っていました。しかし、このような「目に見える形での被害」を知ったのは初めてのことなので、興味深く感じました。

私は個人的には中国とは仲良くするべきだと考えていますし、ことさら対立をあおるようなことはするべきではないと考えています。その一方で、中国という国が専制的な政治体制であり、ネット利用に対する規制も厳しく、今回のようなサイバー攻撃についても政府の関与がうかがわれることから、やはり中国製の機器の利用には一定の制限をかけざるを得ないと思いました。

皆様にも何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

皆さんこんにちは。
プライバシーザムライ中康二です。

久しぶりのリアル巨大展示会「Japan IT Week《春》」が、東京ビッグサイトで4月6日から8日まで開催されております。

私も参加してきましたので、その様子を写真で共有したいと思います。


ウルトラマンとのコラボプロモーションを始めたHENNGEさんが、ゆりかもめの駅から広告ジャックしてます。


今回、東館で開催の「Japan IT Week」に加えて、西館では「ライフスタイル Week」「ファッションワールド東京」、南館では「JapanマーケティングWeek」が同時開催され、RX Japan（旧:リードエグジビションジャパン）だけでほぼ全館貸し切り状態となっています。


この雰囲気、久しぶりですね。


入り口で検温と手の消毒が実施され、会場内ではマスク着用義務です。


会場に入るとすぐにウルトラマンに目が行きます（HENNGE社ブース）


なんだか懐かしいような、知らんような、怪獣たち（HENNGE社ブース）


テレワークの普及でさらに注目度が増すCACHATTO（e-Janネットワークス社ブース）


SMS認証よりも簡単で誰にでも使ってもらえる着信認証。日本で独自に開発しているそうです。（オスティアリーズ社ブース）


ステージの講師の周りを透明パネルで覆っています（日立ソリューションズ・クリエイト社ブース）


今や知らない人がいなくなった名刺管理サービスのSanSan。久しぶりにお話をお聞きしました。（Sansan社ブース）


こちらはマーケティング関係の場所ですが、Youtubeプロモーションを容易に効果的にするWebサービス「kamui tracker」を案内しています（EVIRY社ブース）

というわけで、駆け足でご紹介してまいりました。

実際のところ、展示会場の中で、感染リスクがありそうなシチュエーションには遭遇しませんでした。安心して展示会を楽しめましたよ。（お食事の時だけ注意していただければと思います）

皆さんもぜひ足を運んでいただければと思います。

参加申し込みはこちらから
www.japan-it-spring.jp/ja-jp/about/ist.html

この内容が皆さんにとって何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。

（画面は当社に実際に送られたemotetメールです）

皆さんこんにちは。
プライバシーザムライ中康二です。

2020年に大流行したエモテット（emotet）。
典型的なウイルスなのですが、拡散力が大きいために、
全世界で話題になりました。

2021年に欧州に散在していたエモテット発信の拠点が摘発され、
サーバーが停止されたことにより、一時的に被害は収まっていました。

しかし、また今年に入り、日本で流行が見られています。

特に今回は日本ならではの「パスワード付きZIP圧縮ファイル添付方式」
（いわゆるPPAP方式）の形状をしており、日本企業を狙い撃ちしている
内容となっています。

emotetに感染してしまうと、実在のメールアドレスや、
実際にやり取りされたメール本文が盗み取られ、
その内容やメールアドレスが次の攻撃に使用されます。

また、パソコンを乗っ取って、本人に成りすましてメールを発信することにより、
迷惑メールフィルターを通過する場合もあるようです。

いったん感染して、メールアドレスなどが持ち出されると、
理論上、そのアドレスを消去することはできず、
パソコンを初期化したとしても、
永遠にウイルスメールの送信に使用されることとなります。

取引先のアドレスを流出させてしまったりすると、
その取引先に迷惑をかけることになります。

対策として
（１）怪しい暗号化ZIP圧縮ファイルは絶対に開かないことを徹底する
（２）MS Officeファイルの「コンテンツの有効化」は絶対に行わないことを徹底する（*）
（３）ウイルス対策ソフトを最新版にしておくこと
をお勧めします。

エモテットは標的型攻撃とは違って、ばらまき型ですので、
ウイルス対策ソフトで対応できる場合が多いようです。


* エモテットは、MS Officeファイルのマクロ機能を使用する場合が多いようです。
添付ファイルを開くと、下記のような画面が出てきて、
「コンテンツの有効化」をクリックするように促されます。
これをクリックするとゲームオーバー。お使いのパソコンがエモテットに感染します。

（画面はJPCERT/CCより）

参考URL
被害を受けたライオン株式会社からの案内
https://www.lion.co.jp/ja/pdf/20220203.pdf
過去のエモテットの記事
https://www.pmarknews.info/Information_security/52133013.html
https://xtech.nikkei.com/atcl/nxt/column/18/00676/030500073/

この情報が皆様のお役に立てばと思います。
また、何か情報が入りましたら、シェアいたしますね。

（画像は同病院のWebサイトより）

皆さんこんにちは。
プライバシーザムライ中康二です。

徳島県のつるぎ町立半田病院でランサムウェア（身代金要求型ウイルス）の被害が発生し、病院の心臓部ともいえる電子カルテシステムのデータを全く読みだせなくなり、機能停止の状態に陥っています。報道によると、同病院では身代金を支払わず、約2億円をかけて電子カルテシステムを再構築する方針とのことです。

事件が発生したのは10月31日、電子カルテシステムにランサムウェアが感染。プリンターが勝手に動き出して「データを暗号化した。複号するためには身代金を払え」との内容が印刷されたとのことです。病院では、外部の専門会社にデータ復旧を依頼したがうまくいかず、そのまま病院としての機能が停止したようです。

同病院では、フォーティネット社のVPN機器を使用していたとのことですが、同社製品には以前から脆弱性が報告されており、ログインするためのアカウント情報のリストが公開されるという危機的な状態が続いていました。しかし、同病院はその対応を取っていなかったために狙われたのでないかと推測されます。

同病院では新規の患者受け入れを停止し、患者から情報を聞き取って紙のカルテを作成するという対応を取っており、今後の方針としては身代金は支払わず、約2億円をかけて新しい電子カルテシステムを再構築する方針とのことです。

つるぎ町立半田病院
http://www.handa-hospital.jp

VPN機器8.7万台分の認証情報が公開 - Fortinetが注意喚起（Security NEXT）
https://www.security-next.com/129771

（私のコメント）
今回の事態で明らかになったように、フォーティネット社のVPN機器の脆弱性をそのままにしておくことは組織崩壊の危機を招きます。同システムを使用されている会社の方は、今すぐ対応することを強く推奨いたします。

この情報が皆様のお役に立てばと思います。
また、何か情報が入りましたら、シェアいたしますね。

（画像は同社のリリース文より）

皆さんこんにちは。
プライバシーザムライ中康二です。

製粉大手の株式会社ニップン（東証一部上場）は、2021年7月に、何者かによる大規模なサイバー攻撃を受けたことにより、社内の業務システムの多くのデータが暗号化されて読みだせなくなり、バックアップサーバも同様の被害を受けたとのことです。これにより同社は上場企業に義務付けられている四半期報告書を通常のスケジュールで作成できなくなり、8月から10月まで公表を遅らせる事態となりました。

この事件については、詳細が明らかにされておらず、原因などが不明なのですが、同社のリリースからは
・社内のサーバーと端末の多くで一斉にデータが暗号化されて読みだせなくなった。
・バックアップシステムも同様にデータを暗号化されて読みだせなくなった。
・オンラインバックアップも同様にデータを暗号化されて読みだせなくなった。
・全ての社内ネットワークを停止したために一時的に全業務（生産管理除く）が停止した。
・生産管理システムには影響はなかった。
・会計報告については、伝票を手入力することにより集計し、作成する。
ということが分かっています。

同社のリリース文
https://www.nippn.co.jp/topics/detail/__icsFiles/afieldfile/2021/08/16/20210816-1.pdf

（私のコメント）
一部上場企業を攻撃対象にしたとんでもない規模の事件です。犯人はどのようにしてこれを実行したのでしょうか？ネットワークに侵入し、少しずつサーバーを乗っ取っていき、準備を万端に整えたうえで、一気に実行に移ったように見えます。同社としても一定のセキュリティ対策は取っていたと思われますが、悪意を持った人たちに狙われるとこうなるという貴重な事例として、日本のビジネスパーソンには認識を新たにしていただきたいと思います。

この情報が皆様のお役に立てばと思います。
また、何か情報が入りましたら、シェアいたしますね。

皆さんこんにちは。
プライバシーザムライ中康二です。
（オプティマ・ソリューションズ株式会社・代表取締役）　

今年３月に大きな話題となったLINEの個人情報問題。

直前に買収したZホールディングス(Yahoo!ジャパンの親会社)により組織された外部第三者委員会が最終報告書を公開しました。下記、私なりの理解により要約します。

今回問題とされたことは下記の2点です。
------------------------------------------------------------
（１）LINE上でのやり取りに関して、内容に問題があるとのユーザーからの通報に対処するにあたり、その処理を中国の子会社に委託していたことについて、中国の政府組織などが中国法に基づいて開示を要求するなどのリスクがあることをLINE社が認識しておらず、ユーザーにも適切に説明していなかったこと。
（２）LINE上でやり取りされる画像／動画／添付ファイルが、実際には韓国のデータセンターに保存されていたにも関わらず、LINE社は全てのデータが国内のデータセンターにあるかのように説明していたこと。
------------------------------------------------------------

そして、それ以上の情報漏洩事件や、違法行為はなかったとしました。

また、上記2点の問題が発生した理由として、下記の2点を挙げました。

------------------------------------------------------------
（１）LINE社のコンプライアンス体制が不十分であり、中国の子会社にデータへのアクセス権を許可することの経済安全保障上のリスクを認識できていなかった。
（２）LINE社は、韓国のデータセンターを利用していると説明した場合に予想された、日本ユーザーの拒否反応を嫌って、2013年に「LINEを構成する主要なサーバーはすべて日本国内にある」という誤解を与える説明を行い、その後も同様の説明をし続けた。
------------------------------------------------------------

最終的に、報告書はZホールディングスの指導の下、LINE社が今後の体制の立て直しを行い、社会的な信頼を回復していくことを求めています。

「グローバルなデータガバナンスに関する特別委員会」最終報告
https://www.z-holdings.co.jp/notice/20211018

（私のコメント）
LINE社が急成長をする中で、しっかりとしたコンプライアンス体制を確立できていなかったことは事実として認めざるを得ないと思います。特に中国への委託の件については、それが捜査機関からの問い合わせを受けて対応する業務であり、そのような業務をどうしてわざわざ中国子会社に担当させたのかということを考えると、そういうことに関する危機意識が全くなかったことが伺えます。またこの件については、外国に情報を移転することに関して個人情報保護法で求められている本人同意が、しっかり取れていなかったのではないかという疑問は依然として残っています。

また、LINEのサービスが拡大するにつれて「LINEでのやり取りは韓国の秘密警察に筒抜けである」というような風評がずっと続いてきたのも事実だと思います。LINE社がそういう言説を嫌い、自分たちが日本社会から信頼される日本企業であるとアピールしたいあまりに、不正確な情報発信を行い、それが独り歩きする形で、社内でさえも「LINEの個人情報は日本のサーバーに置いている」と思っていた人がいたのではないかと思います。

ほんのわずかな「嘘」が、その後どんどん大きな問題となっていく。
そんな悲しいドラマを見ているような気もしてきました😢

FACTAの記事（韓国国情院がLINE傍受）
https://facta.co.jp/article/201407039.html

森川社長（当時）による反論記事
https://lineblog.me/morikawa/archives/1023072161.html

わたくしは、LINE社がZホールディングス（＝Yahoo!ジャパン）の監督の下で、社会の期待に応えられる存在に復帰していただくことを期待しています。長すぎるプライバシーポリシーもYahoo！ジャパンを見習って改善してほしいなと思っています！

LINEのプライバシーポリシー（長すぎます）
https://line.me/ja/terms/policy/

Yahoo！ジャパンのプライバシーポリシー（適切だと思います）
https://about.yahoo.co.jp/common/terms/chapter1/#cf2nd

（過去の関連記事）
個人情報保護委員会がLINEに立ち入り検査を実施
https://www.pmarknews.info/kojin_joho_hogo_ho/52140256.html
今回のLINEの問題をきっかけに「長すぎるプライバシーポリシー」に警鐘を鳴らす！
https://www.pmarknews.info/kojin_joho_hogo_ho/52140119.html

皆さんにとってこの情報が参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。