「自社のどのシステムを、誰が点検できるか」。情報漏えいのニュースを受けて、まず社内で確認したい問いです。
IPA（情報処理推進機構）は2026年10月9日、不正アクセスによる漏えい等の事案を踏まえた注意喚起を公開しました。経営者が主導して、セキュリティ対策を至急点検・見直すよう呼びかけています。
公表時点で、特定の製品やサービスの脆弱性を狙った攻撃とは断定されていません。 本記事は10月17日に確認した同注意喚起の要点と、当社が提案する対応の始め方を紹介します。最新情報はIPAの原文をご確認ください。
IPAが呼びかける3つの点検
| 点検対象 | 確認の要点 |
|---|---|
| 自社が外部公開しているアプリ・サービス | 対象を把握し、異常なログと未適用パッチを確認。パッチがあればできるだけ速やかに適用する |
| 自社が利用している外部サービス | 部署で使うものも含めて洗い出し、ログとアカウントの異常を確認する |
| 保有データ | 何を保有しているかを把握し、必要最小限にするよう再点検する |
ログは普段の状態と比較します。IPAは外部公開アプリについて、直近1か月から、その後3か月へと調査範囲を広げる例を示しています。すべてのサービスに一律の期間を義務づける説明ではありません。
外部サービスでは、ログの保存期間や確認できる範囲が異なります。誰が調査できるかも整理し、身に覚えのないアカウントや、無効化したはずのアカウントにも注意を向けてください。
異常なログやアカウントが見つかった場合、IPAは速やかにインシデントとして対応し、専門のセキュリティベンダーへ詳細調査を依頼することを強く推奨しています。
社内で着手するための整理例
ここからは、IPAの点検項目を実行に移すための当社の提案です。まず、次の項目を1つの表にまとめると、担当と未確認事項を共有できます。
- システム・サービス名と担当者
- ログの確認方法・保存期間・調査状況
- アカウント、更新状況、保有データの確認結果
- 未対応事項、次の作業、対応期限
ログを確認できない場合は「異常なし」とせず「未確認」と記録し、確認方法を担当者や提供事業者へ問い合わせます。経営者は未確認・未対応の項目を把握し、必要な人員や判断を支援してください。
点検後も対策の見直しを
IPAは、点検で異常がなくても、認証や権限、ログ管理、データ保有などの対策を強化するよう検討を求めています。取引先や委託先との連携も含め、継続して見直すことが必要です。IPAや公的機関、セキュリティベンダーなどが公表する追加情報も確認してください。
委託元・委託先の双方に関わるSCS評価制度
IPAは、企業のセキュリティ対策状況を共通の基準で評価・可視化するサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の準備を進めています。委託元企業と委託先企業の双方の負担を軽減し、サプライチェーン全体のセキュリティ水準を高めることが目的です。IPAの注意喚起では、2027年3月に制度開始予定と案内されています（2026年10月17日確認）。
社内への共有は、原文のリンクと「点検対象・担当者・確認状況」をセットにして始めてみてください。
出典
- IPA：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について（2026年10月9日公開、同月17日確認）
- IPA：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）（2026年10月17日確認）