行政以上に危険なのは民間企業ではないか

サポートが切れたソフトを使い続ける問題点は、セキュリティー上の欠陥が見つかっても、メーカーから修正プログラムが提供されなくなることだ。サイバー攻撃を仕掛ける側は期限切れで危険が明らかになったソフトを中心に研究して防御の隙をみつけ、その欠陥を突いたサイバー攻撃を敢行してくるので、被害を受ける危険が強まるのである。調査の結果、約2年間にわたってサポート切れの状態のままソフトを使っていた部署もあった。

サポート切れで使われていた4種類のソフトの中には、ウェブサイト構築ソフト「ストラッツ1」があった。「ストラッツ1」はセキュリティ関係者の間では特に注目されたソフトである。検査院の調査直前の2014年4月下旬にセキュリティー上の欠陥が判明して、企業や行政機関でも危機意識が広がって、官庁関係では、国税庁や島根県警などがホームページの一部を停止したということがニュースにもなった。しかし、検査院が指摘した行政組織では問題発覚後もソフトを使い続けていたという。

こういう時には「体制」の不備が問題になるが、検査院によると、各省庁はシステムごとに「情報システムセキュリティ管理者」を配置するなど体制は整備していた。しかし、「体制整備」という言葉は誤解を与える。現場では、ソフトの種類やバージョンを記した書類を整備していなかったり、サポートが終了する日程などの必要不可欠な情報すら把握していなかった。

こういう状況は行政だけではない。民間企業では事情はもっと危険な状況ではないかと想像される。民間企業には、行政と違って中立的な立場で調査を行う「会計検査院」のような組織がない。

民間企業もこのニュースを他人事と思わず、深刻に受け止めてもらいたい。