衝撃の事実：政府システムの16%でセキュリティ対策が不適切
2025年9月に公表された会計検査院の調査結果は、多くの関係者に衝撃を与えました。調査対象とした各省庁のシステムの16%で、プログラムの更新などが適切に行われておらず、サイバー攻撃を受けやすい状態になっていたのです。
現役CSIRTメンバーとして多くのインシデント対応を経験してきた私から見ても、この数字は決して軽視できません。なぜなら、政府機関のセキュリティ不備は、単に行政サービスの停止リスクにとどまらず、国民の個人情報漏洩や国家機密の流出につながる可能性があるからです。
調査で明らかになった具体的な不備とは
今回の検査院調査では、中央省庁24機関と国の地方組織16機関、計356システムを対象に2021～23年度の状況が調べられました。その結果、以下のような深刻な問題が浮き彫りになりました：
ソフトウェアの脆弱性対策不備
12機関の計58システムで、ソフトウェアに弱点があるのにプログラムの更新が適切に行われていませんでした。これは、既知の脆弱性が放置されている状態を意味します。
アクセス権限管理の不備
16機関の計26システムで、アクセス権限の範囲が必要最小限になっていない状況が確認されました。
認証情報管理の不適切な運用
18機関の計55システムで、パスワードなどの認証情報の管理が不適切でした。
フォレンジック調査から見る実際の被害事例
私がこれまで担当したフォレンジック調査の中でも、今回指摘された問題と同様の脆弱性が悪用されたケースを数多く見てきました。
ケース1：中小企業での標的型攻撃事例
ある製造業の中小企業では、社内システムのソフトウェア更新を3ヶ月間放置していたところ、既知の脆弱性を突いた標的型攻撃を受けました。攻撃者は最初に脆弱なWebアプリケーションから侵入し、その後ネットワーク内を横展開して機密情報を窃取しました。
調査の結果、約2年間にわたって攻撃者がシステム内に潜伏していたことが判明。顧客データや設計図面など、企業の根幹に関わる情報が流出していました。復旧には約6ヶ月を要し、損失額は数億円に上りました。
ケース2：権限管理不備による内部不正事例
IT企業での事例では、退職した従業員のアクセス権限が適切に削除されていなかったため、元従業員が不正アクセスを行い、顧客情報を持ち出すという事件が発生しました。
この企業では、プロジェクト単位でアクセス権限を付与していましたが、プロジェクト終了時や人事異動時の権限見直しが不十分でした。結果として、必要以上の権限を持つアカウントが多数存在し、それが不正利用されたのです。
政府システムの不備が示す重要な警鐘
今回の会計検査院の指摘は、政府機関だけの問題ではありません。むしろ、多くの民間企業や個人が同様のリスクを抱えている可能性を示唆しています。
なぜセキュリティ対策が後回しになるのか
私がこれまで関わってきた多くの組織で共通していたのは、「セキュリティ対策の重要性は理解しているが、日常業務の優先度が高く、対策が後回しになってしまう」という状況でした。
特に以下のような要因が、セキュリティ対策の遅れを招いています：
- セキュリティ対策の効果が目に見えにくい
- システム更新作業による業務停止を嫌う傾向
- セキュリティ専門人材の不足
- 予算確保の困難さ
しかし、これらの理由でセキュリティ対策を先延ばしにした結果、より大きな被害を受けることになるのです。
個人・企業が今すぐできるセキュリティ対策
政府システムの不備を他山の石として、個人や企業が今すぐ実施できる対策をご紹介します。
個人ができる基本対策
ソフトウェアの定期更新
OSやアプリケーションのアップデートは、新機能の追加だけでなく、セキュリティ脆弱性の修正も含まれています。自動更新設定を有効にし、定期的な手動チェックも行いましょう。
総合セキュリティ対策の導入
個人のデバイスを包括的に保護するためには、信頼性の高いアンチウイルスソフト
の導入が不可欠です。リアルタイムスキャン、フィッシング対策、ファイアウォール機能など、多層防御を実現できます。
通信経路の暗号化
特に公共のWi-Fiを利用する際は、通信内容が盗聴されるリスクがあります。VPN
を使用することで、通信を暗号化し、プライバシーを保護できます。
中小企業におすすめの対策
Webサイトの脆弱性診断
自社のWebサイトやWebアプリケーションに脆弱性がないか定期的にチェックすることが重要です。Webサイト脆弱性診断サービス
を活用することで、専門知識がなくても包括的な診断が可能です。
従業員のセキュリティ教育
技術的対策と同じく重要なのが、従業員のセキュリティ意識向上です。フィッシングメールの見分け方、パスワード管理の重要性などを定期的に教育しましょう。
サイバー攻撃の手口は日々進化している
フォレンジック調査の現場で感じるのは、攻撃者の手口が年々巧妙化していることです。
最新の攻撃トレンド
AIを活用した攻撃
最近では、AIを使ってより巧妙なフィッシングメールを作成したり、音声合成技術を使った詐欺電話が増加しています。
サプライチェーン攻撃
直接的な攻撃が困難な大企業に対し、セキュリティの弱い関連企業を経由して攻撃を仕掛ける手口が増えています。
ランサムウェアの多様化
データを暗号化するだけでなく、機密情報を窃取して公開を脅迫する「二重脅迫」が主流になっています。
インシデント発生時の適切な対応
万が一、サイバー攻撃を受けた場合の対応も重要です。私がフォレンジック調査を担当した案件では、初期対応の差が被害の拡大を左右することが多々ありました。
インシデント発生時の初動対応
- 被害範囲の特定：どのシステムが影響を受けたかを迅速に把握
- 証拠保全：フォレンジック調査のため、ログやメモリダンプを保存
- 関係者への連絡：社内外の関係者に適切なタイミングで報告
- 復旧作業：バックアップからの復旧と再発防止策の実施
まとめ：継続的なセキュリティ対策の重要性
今回の会計検査院の指摘は、「セキュリティ対策は一度実施すれば終わり」ではないことを改めて示しています。技術の進歩とともに新たな脅威が生まれ、既存の対策も陳腐化していくため、継続的な見直しと改善が必要です。
政府機関でさえこのような不備があることを踏まえ、個人や企業はより一層、自らのセキュリティ対策を見直す必要があります。
今すぐできること：
- 使用中のデバイスやシステムの更新状況をチェック
- パスワード管理の見直し
- 包括的なセキュリティソリューションの導入検討
- 定期的な脆弱性診断の実施
サイバーセキュリティは、もはや「やっておけば安心」という性質のものではありません。継続的な投資と改善を通じて、進化し続ける脅威に対抗していく姿勢が求められています。
政府システムの不備を教訓として、私たち一人ひとりが自分事としてセキュリティ対策に取り組むことが、より安全なデジタル社会の実現につながるのです。
一次情報または関連リンク
