はじめに｜IPAが不正アクセスへの注意喚起を発表
2026年10月9日、IPA（情報処理推進機構）が「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」という注意喚起を公開しました。
最近、国内の金融機関や通信事業者などで不正アクセスによる情報漏えいの公表が相次いでおり、特に大量の個人情報を扱うシステムへの侵入が問題になっています。
本記事では、IPAの注意喚起をもとに、ネットワーク・セキュリティ運用で確認しておきたいポイントを整理してみます。
1. 不正アクセスが相次いでいる。何が起きているのか？
今回のIPAの発表では、国内の複数の事業者で不正アクセスによる情報漏えいが発生していることが説明されています。
ただし、現時点で特定の製品やサービスの脆弱性が共通の原因だと断定されているわけではありません。
公表された事案の傾向から、次のような経路が侵入の起点になっている可能性が指摘されています。
- 外部公開しているアプリケーションやサービスへの侵入
- アカウントの侵害による不正アクセス
ここで考えたいのが、攻撃者は必ずしも特殊な方法で侵入するとは限らないということです。
例えば、公開する必要のない管理画面がインターネットからアクセスできたり、退職者のアカウントが残っていたりすれば、それ自体がリスクになります。
※これらは一般的なリスクの例であり、今回公表された事案の具体的な侵入原因として確認されたものではありません。
IPAは今回、技術担当者だけでなく、経営者にもセキュリティ対策の点検と見直しを求めています。
つまり、個々の機器やシステムだけではなく、企業全体としてどこにリスクがあるのか把握する必要があるということです。
2. まずはここから。IPAが挙げた3つの点検項目
IPAが速やかな実施を求めている点検は、大きく3つに分けられます。
① そのシステム、本当に公開する必要がある？
最初に挙げられているのが、外部公開アプリケーションの点検です。
企業では、Webサービスや業務アプリケーションなど、さまざまなシステムをインターネットに公開しています。
しかし、それらをすべて把握できているでしょうか。
IPAは次のような確認を求めています。
- 外部公開しているアプリケーションやサービスの洗い出し
- アクセスログやエラーログに異常がないかの確認
- 未適用の脆弱性対応パッチが残っていないかの確認
ログについては、直近1か月から確認し、その後3か月へと段階的に対象を広げる方法も示されています。
ネットワーク担当者としては、ここでファイアウォールの設定も確認しておきたいところです。
例えば、過去の検証で使用したポートが開いたままになっていたり、利用を終了したサーバーへの許可ルールが残っていたりするケースです。
こうした設定が必ずしも即座に侵害につながるわけではありませんが、不要な公開範囲はできるだけ減らすべきでしょう。
② VPNやクラウド、不審なログインを見逃していない？
次に確認したいのが、VPNやクラウドサービスなどの外部サービスです。
IPAは、組織全体だけでなく、部署単位で利用しているサービスも含めた洗い出しを求めています。
確認するポイントは次のとおりです。
- 通常と異なる時間帯やIPアドレスからのログイン
- 不自然に多いログイン失敗
- 作成した覚えのないアカウント
- 削除・無効化したはずなのに有効になっているアカウント
ここで意外と見落としやすいのが、ログの保存期間です。
例えば、過去3か月のアクセス状況を調査したくても、ログが30日分しか残っていなければ、それ以前の状況は確認できません。
また、クラウドサービスによっては、契約プランや管理権限によって取得できるログが異なります。
ログを取得しているかだけでなく、何を、どれくらいの期間保存し、誰が確認できるのかまで把握しておくことが重要です。
③ 使っていない個人情報、残したままになっていない？
3つ目は、企業が保有しているデータの見直しです。
今回公表されている事案では、個人情報を含むデータの窃取が問題になっています。
仮にシステムへ侵入された場合でも、必要以上の情報を保存していなければ、漏えいによる被害を抑えられる可能性があります。
例えば、次のような情報です。
- 保管期限を過ぎた個人情報
- すでに使用していない顧客データ
- 不要になったバックアップや共有ファイル
もちろん、法令や業務上の保存義務がある情報まで削除するわけにはいきません。
必要な情報を適切に保存し、不要な情報を持ち続けないことが大切です。
セキュリティというと侵入を防ぐことに意識が向きがちですが、侵入された場合にどこまで被害が広がるかという視点も欠かせません。
3. FWやVPNの設定、最後に見直したのはいつ？
ここからはIPAの注意喚起を踏まえて、ネットワーク運用の現場で確認できそうなことを考えてみます。
例えば、ファイアウォールやVPNを導入していても、設定や運用が適切でなければリスクは残ります。
| 対象 | 見直したいポイント |
|---|---|
| ファイアウォール | 不要な通信許可ルールや公開ポートが残っていないか |
| VPN | 不要なアカウントや過剰なアクセス権限がないか |
| 公開Webサービス | 未適用パッチや不要な公開機能がないか |
| クラウド | 多要素認証やアカウント管理が適切か |
| ログ管理 | 必要なログを取得・保存できているか |
| データ管理 | 不要な情報や過剰なアクセス権限がないか |
※上記はIPAの発表をもとに、ネットワーク運用の観点から整理した確認例です。
個人的に気になるのは、設定変更後の管理です。
ネットワーク機器は、システム追加や障害対応のたびに設定が変更されます。
その際、作業のために一時的に追加したルールが残ってしまうことも考えられます。
また、VPNについても、利用者が増える一方で、退職者や異動者のアクセス権限が十分に整理されていなければ問題になります。
こうした設定は、導入時には適切だったとしても、数年後まで適切とは限りません。
一度設定したものを、定期的に見直す。
当たり前のことですが、日々の運用に追われていると後回しになりやすい部分ではないでしょうか。
4. ログに異常がなければ、本当に安全なのか？
今回の注意喚起で特に印象に残ったのが、点検で異常が見つからなかった場合でも、追加のセキュリティ対策を検討するよう求めている点です。
なぜなら、ログに異常がないことが、必ずしも侵害されていないことを意味するわけではないからです。
例えば、次のようなケースが考えられます。
- そもそも必要なログを取得していなかった
- ログの保存期間が短く、過去の記録が残っていなかった
- 正規アカウントが悪用され、通常のログインと区別しにくかった
つまり、異常を発見するためには、普段の状態を把握し、比較できる環境を整えておく必要があります。
IPAは、点検後の対策として、多要素認証の強化、アカウント権限の見直し、API連携の管理、ログの取得内容や保存期間の見直し、データの暗号化などを挙げています。
また、不審なログやアカウントを発見した場合には、速やかにインシデント対応を開始し、専門のセキュリティベンダーによる詳細調査を依頼することを強く推奨しています。
単にログを確認するだけではなく、異常を発見した後にどう動くのかまで決めておくことが重要です。
5. セキュリティ対策は情シス任せでいいのか？
今回の発表では、経営者のリーダーシップについても触れられています。
というのも、セキュリティ対策は技術担当者だけで完結するものではないからです。
例えば、不要な個人情報を削除するには、データを扱う業務部門との調整が必要になります。
システムの停止を伴うパッチ適用であれば、業務への影響を考慮しなければなりません。
また、取引先や委託先が管理するシステムであっても、自社の情報を扱っている場合には、その管理状況を無視できません。
IPAも、緊急的な点検だけで終わらせず、国内外の拠点や取引先を含めたサプライチェーン全体での対策が必要だと説明しています。
ネットワークやセキュリティ担当者だけでなく、経営層や業務部門を巻き込んだ取り組みが求められているのだと思います。
おわりに｜セキュリティ対策は「設定して終わり」ではない
今回のIPAの注意喚起を読んで、改めて感じたのは、特別なセキュリティ技術を導入する前に、基本的な管理を徹底することの重要性です。
ファイアウォールやVPNを導入することはもちろん大切です。
ただ、不要な許可ルールが残っていたり、アカウントが適切に管理されていなかったり、ログを十分に確認できなかったりすれば、対策の効果は限定的になります。
また、侵入を完全に防ぐことだけを考えるのではなく、侵入された場合に被害をどこまで抑えられるかという視点も必要です。
まずは、自社で利用しているシステムやサービスを把握できているか、設定やアカウントの棚卸しができているか、ログを確認できる状態になっているか。
こうした身近な部分から見直していくことが、現実的なセキュリティ対策につながるのではないと考えています。
参考資料
- IPA（2026年10月9日）「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」
https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html
※本記事は2026年10月11日時点のIPAの公開情報をもとに作成しています。本文の具体例やネットワーク運用に関する考察には、筆者による補足を含みます。