国家サイバー統括室「個人情報の漏えい等につながる不正アクセスへの対策」

先週、国家サイバー統括室が個人情報の漏えい等につながる不正アクセスへの対策についてを発表しました。PDFです。
ITmediaにも解説記事があるので、解説はおまかせ。
政府、相次ぐ情報漏えいで事業者に注意喚起　「基本的な対策が不十分」な事例を複数確認

一般向けの解説と、「サイバーセキュリティ担当者等向け」の解説にわかれているのは良い構成と思います。
激しく要約すると、設計・実装をしっかりやって、評価で検証し、新しい攻撃手法や使用部品の脆弱性を継続的に監視し、判明したら直ちに対応する、と言うサイバーセキュリティの基本原則がわかりやすく説明されています。しかし、開発時に費用がかかるのはもちろん、継続的な活動が必要ですから、これを実現するのは費用や工数面で非常に大変です。今の問題は、ここに書かれているようなことを知らないだけでなく、各組織が実施する覚悟を持っていないことと思います。

さて、書かれている内容で気になったのは、内部からの侵入の恐れが書かれていないこと。「委託先のセキュリティ統制及び委託先からの接続経路の厳格化」はありますが、社内管理者のPCに侵入されるようなパターンが抜けていると思います。
また、今回のメール配信サービスの問題のように、運用委託先の指針もありませんでした。
これらは大変なのは当然ですが、このドキュメントの主旨から書かれるべきです。おそらく継続的に改定されるでしょうから、いずれは入るものと思います。