国家サイバー統括室、Webとアプリの基本対策の徹底を事業者に要請

何が公表されたのか

国家サイバー統括室は2026年11月5日、Web サイトやスマートフォンアプリで事業を行い、個人情報を扱う事業者に注意喚起を出しました。相次ぐ漏えいでは、アプリ開発時の対策不足、Web サイトの設定不備、サポートが切れたソフトの使用など、自社や委託先の基本対策の不足が原因とみられる例が複数あるとしています。

攻撃者は国内の Web サイトなどを大規模に調べ、入れる場所を見つけて侵入し、個人情報を盗んだとみられます。調査や侵入に AI を使っている可能性も高いといいます。AI が悪用されたことで、これまでの診断では比較的低いと評価されたリスクでも、組み合わさって侵入の原因になった可能性のある事例もあります。攻撃を広げやすくなったため、事業の規模に関係なく狙われると考えられています。

文書は、経営層向けに考え方と背景を整理した部分と、IT システムやセキュリティの担当者向けに具体的な対策例を並べた部分に分かれています。

3つの分野の対策

1つ目は運用と管理です。使っているソフトの部品とバージョンを把握し、脆弱性が公表されたら影響をすぐ調べられるようにします。部品表（SBOM）やソフトウェアの構成を解析するツールを使う方法も挙げています。調べる先は、悪用が確認された脆弱性を集めた米国 CISA のカタログ、製品ベンダーの発表、NVD、JVN などです。実際に悪用されているものは優先して確かめます。

対応の優先順位と期限は、深刻度、悪用の状況、インターネット越しに悪用できるか、システムの重要度などの基準をあらかじめ決めておきます。修正プログラムをすぐ当てられないときは、影響を受ける機能を止める、アクセスを制限するといった暫定の対策をとり、すでに悪用されている脆弱性なら、ログに侵害の兆候がないかも調べます。

管理画面やデバッグ用の機能、開発環境が外に出ていないかも点検し、不要なものは止めます。事案では、インターネットに公開された管理画面が、推測されやすい ID とパスワードや総当たりで破られた例、外から見えるはずのないデバッグ用の機能に届いてしまった例が確認されています。点検では、リバースプロキシなどの振り分けの設定が、想定していない URL を外に通していないかも確かめます。診断は公開前だけでなく、認証や API、個人情報の扱いにかかわる重要な変更のときや運用中にも行います。

2つ目は設計と開発です。後から修正するほうが、設計のときに防ぐより費用が大きく増えるため、最初から安全に作る考え方（セキュリティ・バイ・デザイン）を求めています。API（アプリとサーバーをつなぐ窓口）では、利用者に権限があるかをサーバー側で確かめます。他人のデータや、本来使えない機能に届いてしまう状態が、情報漏えいの原因になるためです。鍵やパスワードをプログラムに直接書かないことも求めています。アプリを解析されると取り出されるおそれがあり、サーバー側では専用の管理の仕組みに置き、権限を最小にして、有効期間や定期的な入れ替えを決めます。ログインやパスワード再設定には、短時間に大量のリクエストが来たら制限する仕組みも入れます。

個人情報を扱う Web アプリは、公開前に脆弱性診断を受けます。事案では SQL インジェクション、OS コマンドインジェクション、リモートコード実行、ディレクトリトラバーサルなどが悪用されました。診断では、製品の既知の脆弱性だけでなく、自社や委託先が作ったバックエンドに固有の弱点も対象にします。

3つ目はサプライチェーンです。委託先が使う接続経路を洗い出し、多要素認証を入れます。入れにくい経路は接続元の制限や作業時だけの開放で補います。作業が終わった委託先のアカウントや、いつも付いたままの管理者権限の棚卸しも求めています。

委託先との関係

統括室は、委託先の環境を足がかりに侵入されても影響は発注元が負うと指摘しています。個人情報の取り扱いを委託するときは、個人情報保護法第25条により、委託先への必要かつ適切な監督が求められます。

契約には、秘密保持に加えて、再委託の手続き、事故のときの通知と連絡先、契約が終わったときのデータ消去を入れます。開発を委託するときは、使うソフト部品の明示と SBOM の提出を契約に定め、検収で既知の脆弱性を確認する対策も挙げています。一方で、委託先に対策を求めるときは費用の負担や方法をよく話し合い、取引上の立場を使った一方的な押し付けにならないよう求めています。委託先の選定には、SCS 評価制度（2027年3月に申請の受け付けを始める予定）などの客観的な評価を使うとしています。

委託先への確認の項目はシステムの委託先に聞くべき5つのことに、この文書と同じ時期に政府が決めた施策は政府がサイバー緊急対策パッケージ決定 お助け隊に復旧支援を追加にまとめています。