t-yamamt

元ソフトウェアエンジニア、現コンサルタント。RISS。お勉強アカウント。

[t-yamamt @t_yamamt]

報道の影響もあるだろうけど、もうみんなお漏らしフィーバーだな

[ITmedia NEWS @itmedia_news]

タイムズカー、会員の免許情報や本人確認書類が漏えいの可能性　不正アクセスで
https://t.co/Zu8xUJYKG8

[猫頭 @nekogashira]

タイムズさんへ
信用情報機関に運転免許証盗難として本人申告出します。手数料の請求書を御社に回すのがめんどくさいので、車の利用中に申告しますから、例の水色のカードでCICとJICCのオーソリ通すようにSMCに言っといてくださいね！

[現金いらず @nogenkin]

こんな大規模な本人確認書類画像の流出って前例あったっけ？嫌な予感。

該当していることが判明した場合はJICCやCICへの本人申告（流出したことを信用情報期間にメモしておく制度）も検討したほうが良いかもですね。ただこれも100%悪用が止まるわけではありません。

[t-Kimura @t__kimura]

🚨追記

本デジタル庁で発生した重大インシデントを「サイバー事案」として評価すると、深刻度を見誤ります。

デジタル庁はそこに話をすげ変えた議論に持ち込む可能性を予測して事前に警告します。

この重大なインシデントは米国の基準に照らすと上から二番目のレベル4に該当します。深刻な問題です。

攻撃の手段ではなく、何が失われたかで評価すべき事案だからです。

失われたのは、政府共通基盤に接続できる人間の全数名簿です。

各府省庁の職員、独立行政法人の職員、そして政府システムの構築・運用に携わる事業者と個人。

これは、諜報活動における標的選定の基礎資料そのものです。

米国には前例があります。2015年の人事管理局（OPM）侵害において、当時のジェームズ・クラッパー国家情報長官は、これを「サイバー攻撃」ではなく「諜報活動（espionage）」と位置づけました。

分類の軸を、手段から目的へ移したということです。

根拠は、次の通りです。

・情報影響（Information Impact）

窃取された情報が何を可能にするかで評価します。

標的型攻撃の起点となる職員名簿。接近の口実を構築するための所属と連絡先。他の流出情報と突合するための氏名と住所。そして、政府システムの委託先という供給網の地図。

いずれも、後続の活動を可能にする性質のものです。国家安全保障および国民の信頼に対する「明白な影響」の要件を満たします。

・攻撃者の性格づけ（Actor Characterization）

未確定です。そして、この項目がレベルを決定します。

🚨金銭目的の犯罪集団による窃取であれば、レベル3に留まります。国家支援型の主体であれば、当該名簿は諜報活動の基礎資料となり、レベル4に上がります。🚨

日本政府は、攻撃元を公表していません。

レベル5に該当しない理由

物理的被害および社会機能の停止が生じていません。レベル5は差し迫った脅威を指し、現に進行中の危機に適用されます。

2015年のOPM侵害は、約2,150万人分でした。

内容が異なります。セキュリティクリアランス申請書（SF-86）が含まれており、財務履歴、外国人との接触歴、精神科受診歴、家族関係が記載されています。加えて指紋データ約560万人分。

本件は氏名、住所、メールアドレス、電話番号であり、深度が異なります。

⚠️ただし、事案の性質——政府に関わる人間の名簿が国外に渡った可能性——は同型です。

そしてOPM事案の後、米国は在外人員の配置を見直しています。名簿がもたらす損失は、事案の直後には現れません。

五、対応体制の比較

米国の場合

連邦機関は、事案を特定してから1時間以内にCISA（サイバーセキュリティ・インフラ安全保障庁）へ報告する義務を負います。

CISAが評価を行い、レベルに応じて対応にあたる職位と投入資源が決まります。当事者が評価するのではありません。

OPM事案では議会公聴会が開かれ、OPM長官が辞任しています。

日本の場合

本件の時系列は、6月25日に検知、7月9日に原因判明、9月11日に公表です。原因判明から公表まで、約2か月を要しています。

そして、公表された共通の深刻度基準がありません。評価を行う独立した主体もありません。報告の時限も定められていません。

そして私は何年にも渡ってデジタル庁と中国との関連を指摘してし、深刻な情報漏洩のリスクを指摘してきました。

そして最悪な形で、米国基準のレベル4相当のインシデントとした表面化しました。

この深刻な問題を「サイバー攻撃」の様な表現で有耶無耶にする工作が起こりえます。そこからサイバー予算を請求するストーリーすら見えてきます。

しかしこのインシデントは明確に組織の問題です。日本の国益に致命的かつ、修復が困難な欠陥を与えたのです。

国民の声が上がることを期待します。

[piyokango @piyokango]

デジタル庁のガバメントソリューションサービス(GSS)への不正アクセスについてまとめてみた - piyolog https://t.co/d1luZgfjld

[t-yamamt @t_yamamt]

AWSセキュリティ成熟モデルね、覚えておく
https://t.co/AgMS03CAZn

[t-yamamt @t_yamamt]

ソニー銀行凄いなぁーって感想 #awssummitjapan

[t-yamamt @t_yamamt]

便利なサイト教えてもらった

https://t.co/lvwwDa7IGJ

[t-yamamt @t_yamamt]

今日はGoogleのAI Agent Intensive Courseを受けてる

[t-yamamt @t_yamamt]

仕事量がやばいが、やっと終わりが見えてきたので、資格勉強を再開したい

[t-yamamt @t_yamamt]

久々に転職or独立を本格的に考えている。そろそろコンサルを卒業する時期かもしれない。

[情報通信研究機構 @NICT_Publicity]

NICT サイバーセキュリティネクサスでは、サイバーセキュリティの領域、歴史、構造などを哲学の視点から考察した冊子 "サイバーセキュリティの哲学 〜21世紀の「安全」のフレームワーク〜" を公開しました。
https://t.co/M3PctzgdXr

本冊子はセキュリティ人材育成に関わる調査の一環として行われたイベント "サイバーセキュリティの哲学〜21世紀の「安全」のフレームワーク〜" における玉川大学名誉教授 岡本裕一朗氏への公開ヒアリングの内容を再構成したものです。是非ご一読ください。

#NICT #サイバーセキュリティ #CYNEX #サイバーセキュリティネクサス

[piyokango @piyokango]

KDDI、セキュリティ企業のラックを買収へ　約246億円で - ITmedia NEWS
https://t.co/JijvSYt1nq

[t-yamamt @t_yamamt]

久々に仕事で辛い思いをしている。いくら何でも部下ガチャが過ぎる。。。

[t-yamamt @t_yamamt]

新報酬安いなぁ…というのが感想。そろそろ本格的に独立or転職の準備をしよう

[にゃん☆たく/takumi.a @taku888infinity]

電子メール関連システムからのメールデータ漏えい被害が公表されている件について
https://t.co/1DtzoMWJ85

JPCERT/CCブチギレてんじゃん。最高大好き。

[t-yamamt @t_yamamt]

応募しました
RT #TechFeed2023リリース キャンペーン開催中！
抽選で1名様にMacbook Air M2が、30名様にAmazonギフト券が当たる！サインアップしてツイートするだけ。あなたも参加しよう！ https://t.co/Xrkzd4MgJX

[t-yamamt @t_yamamt]

ここ最近、タイムラインが別垢と混ざってる感がある。同じユーザーをフォローしたりしてないのに…。

[t-yamamt @t_yamamt]

最近の自分の気持ちを代弁してくれてるので、他にも同じこと考えている人がいると分かって嬉しい。

https://t.co/Yb8rto8YsG