自衛隊、機密システムに感染USB接続　中国系ウイルス1年気づかず

これはたいへん。日本の役所や企業のセキュリティ管理には、何重ものパスワードを入力しないと、システムに入れないようにしているところが多い。すなわち、複雑化＝安全という誤解があるようだ。そして、ノートパソコンなどのデバイスを持ち歩きできないようにするところも多い。不便＝安全の誤解もある。しかし、今回の事案のように最初からUSBメモリーにウィルスを仕込まれてしまうと、侵入を防ぎようがない。役所の備品調達は原価管理が厳しい。たとえば、国内メーカーに作ってもらう場合、値段は数倍ないし10数倍に跳ね上がるかもしれない。会計監査から厳しく指摘されないか。安全は水と空気と違ってただではない

極めて憂慮すべき事態です。USBを職場で使えるというのは、諸外国の国防機関だけでなく重要情報を扱う国内企業と比べても体制が緩いです。重要なシステムをネットと遮断しても、USBの接続が恒常化していれば意味がありません。今後の対策としては禁止を徹底するだけでなく、業務上、システムをまたぐ情報の移転がそれほど必要ならば、改めてデータの機密性の整理やシステムの運用改善が必要でしょう。災害時には対処に追われてガードが緩む隙を突いて、ウイルス感染を狙った偽メールなども含めサイバー攻撃が増えます。この事案を教訓に、防衛省・自衛隊だけでなく企業や地方公共団体でも災害対策中のセキュリティ強化を周知すべきです。

自衛隊内のクローズ系・隔離系システムにおけるデータ移行の標準手続きが、現実の業務運用と脅威環境に追いついていないことを示している。2010年に発覚したスタックスネットは、イランの核施設を標的とし、外部媒体を通じて隔離環境にも侵入し得ることを示した古典的事例として想起される。 今回の事案で根が深いのは、閉域系システムとのデータのやりとりが、機密管理に適した専用媒体ではなく、汎用USBに依存していた点である。そもそもUSBによるデータ受け渡しを常態化させるべきではない。専用の検疫端末、ファイル無害化、承認済み移行経路、接続ログ監査を組み合わせた標準手続きへ移行すべきである。