教育と公共部門のためのオフェンシブセキュリティ。
学校、大学、行政機関には、市民のデータ、限られた予算、そして数十年かけて積み上がった技術が同時に集まっています。私たちはこの三つの制約を同時に踏まえて検証します。
この分野を脆くしている組み合わせ
問題は技術力の不足であることはまれで、たいていは積み重なりです。誰も止められない引き継がれたシステム、前の体制が作った連携、学期ごとに増える利用者、そして持ち主のはっきりしない境界。攻撃者に高度な手口は要りません。忘れられたものを見つければ足ります。
- 古いシステムが本番に残っているのは、いまも欠かせない業務を支えているからです。
- 利用者は多く、入れ替わりが激しく、その多くが管理外の個人端末を使っています。
- 部署間の古い連携が、システムどうしの間に暗黙の信頼を作ります。
- 学生や市民のデータには、法令上の保護義務がある要配慮の区分が含まれます。
この種の環境で検証する範囲
外に露出したまま忘れられているところから始め、個人データが実際に置かれている場所まで進みます。
学生、職員、市民向けのポータル。ログイン、ID 連携、パスワード再設定、そして役割ごとのオブジェクト単位の権限確認。
履修登録、成績、証明書、会計。ある役割が権限の外にある記録を読んだり書き換えたりできないかを確かめます。
生きているサブドメイン、外から見える検証環境、部署ごとの独自アプリ、過去の移行を生き延びたサービス。
部署間および外部システムとのデータ交換。共有された認証情報や、呼び出し元を検証せずに信頼するサービスも含みます。
実習室、図書館、事務系ネットワークで得た足がかりがどこまで届くか。そして、それらの環境の間に実際の壁があるかどうか。
オープンデータのポータルと掲載システム。公開が必要な範囲を超えて、露出になっていないかを確かめます。
法令上の義務のための証跡
報告書は技術担当だけでなく、行政手続きと説明責任に資するように書かれています。
- 公共部門における個人データ保護
- 個人データ保護の法令は公的機関にも独自の枠組みで適用されます。悪用の各シナリオで、どの本人が露出し、どの根拠が影響を受けるのかを記録します。
- 子どものデータ
- 教育機関は子どものデータを扱います。保護が強化される区分であり、各指摘に付ける深刻度もそれに応じて変わります。
- 限度のある透明性
- 公開する義務と守る義務の両方があります。公開が必要以上に及んで露出になっている箇所を指摘します。
- 調達の根拠づけ
- 報告書は証跡つきの技術的診断を提供します。調達の根拠づけや予算の優先順位づけを支える形式です。
予算に制約があるときの進め方
検証の前にまず把握
この種の環境では、価値の半分は「何があるのか」を突き止めることにあります。実際の露出面を描いてから、悪用に労力を割く場所を決めます。
露出するデータで優先順位を決める
範囲が限られる場合、個人データにつながる経路から手をつけます。機微な情報に届かない脆弱性は後回しにします。
古いシステムへの配慮
支援の切れたシステムでは、強い働きかけを避けて露出と分離を評価します。すぐには戻せないサービスを止めないためです。
段階に分けた是正計画
是正は、予算なしでできること、調達が要ること、システム更改が前提になることの三つに分けて示します。
お渡しするもの
- 上層部向けの経営報告書
- 再現できる技術報告書
- 露出面の一覧
- 根拠を添えた CVSS 評価
- 個人データの露出マップ
- 費用で段階分けした是正計画
- 是正済み項目の再テスト
- 本件に関する完了報告書
この業種でよくある質問
予算の都合で範囲を絞っても対応できますか？
+
できますし、この分野では最も一般的です。その場合はまず露出面の把握に投資します。低い費用で相応の露出が見つかることが多いからです。そのうえで、個人データにつながる経路に悪用の労力を集中させます。報告書には対象外とした部分を明記するので、次回はそこから始められます。
止められない古いシステムも検証の対象になりますか？
+
対象ですが、扱いを変えます。支援も復旧計画もないシステムには、強い能動的な検証を行いません。露出、初期設定の認証情報、分離を評価し、そこから攻撃者がどこまで届くかを測ります。停止は起こしません。
報告書は調達や予算要求の根拠になりますか？
+
最も多い使われ方のひとつです。再現できる証跡つきの診断と、手間と費用で分けた是正計画を示すので、予算の優先順位づけと行政手続きを支えます。技術担当にも上層部にも読める言葉で書いています。
未成年者のデータはどう扱いますか？
+
保護が強化される区分として扱います。テストデータで実証できる場合は実際の記録に触れず、証跡では識別情報をマスクします。その層が露出する指摘は、技術的な欠陥そのものが中程度と評価されるものであっても、深刻度を引き上げます。