年金機構の情報流出。セキュリテーは？

質問

今回の流出は添付ファイルを開いたことが原因です。

そもそも、セキュリテー会社を介しているのに、すり抜けたウイルス。

いたちごっこは解りますが、そうすると今回はセキュリテー会社も、プロバイザーも判断できなかった最新のウイルスってことでしょうか？

なら、莫大な費用をかけてセキュティー会社に委託するのは無意味ではないでしょうかね？

精通されている方のご意見をお聞きしたいです。

回答No.7

masatsan

あまり何度も回答するのは！と思いますが。
１００％というのはありません。
８０％が９０％とかその程度の問題。
しかし８０％を９０％にしたらどうなるかは想像できますよね。
ともかく１００％はないけどそれに備える必要はあるんです。

補足

当たり前です。解っています。手術でもそうです。１００％成功するとは限りません。

私の言っているのは２箇所のセキュリテイーをすり抜けたことを非難しているんです。

あなたの主張は、例えば１００件のウイルスが攻撃をしかけ９９件はすり抜けた。
１件はセキュテイーにかかった。それでも１００％はないから仕方ない。っといっている主張です。

私の主張は、そんなバカなことは無い。９９件は多すぎる。もっと、しっかりしろ！
ということです。それも２箇所です・・

あなたのような言い方をすれば、全く反省することも無い、よって成長も無い。
こんな馬鹿な営業方針は非社会的です。

回答No.6

notnot

＞そうすると、やはり、プロバイザー、セキュリテー会社が防げなかったことに疑問です。

プロバイザーというのがインターネット接続プロバイダーのことだとすると、プロバイダーは無関係です。
電話を使った詐欺を防ぐ対策をNTTが打たないのと同じ。

セキュリテー会社というのが、セキュリティーコンサルタント会社のことだとすると、
そもそもコンサルタント会社を頼んでいたのかどうか、コンサルタント会社がきちんと対策を提案していたのかどうか、それを聞いた年金機構がその対策を実施することを依頼していたのかどうかあるいはコスト面などの理由で採用しなかったのかなど、そのあたりが不明では、何とも言いようがありません。

あるいは、セキュリテー会社というのが、アンチウイルスソフトの販売会社のことだとすると、先の回答に書いたように今回のは専用に作られたプログラムでしょうから汎用のアンチウイルスソフトで検出されなくても不思議ではありません。

インフルエンザワクチンを打っていれば絶対にインフルエンザにかからないだろうという思い込みと同じく、間違いです。これってわりと常識的なことですよね？
それと同じように、アンチウイルスソフトは万能で無いというのは、一般消費者はともかく、それなりの規模の企業や公的機関等のセキュリティ担当者の間では常識だと思います。なので、二重三重四重の防護策をとります。

そういった意味では、
＞なら、莫大な費用をかけてセキュティー会社に委託するのは無意味ではないでしょうかね？
年金機構の担当者が当事者意識無く、第三者に丸投げしていたのなら、その費用は無意味かも。

補足

１
ocnにはセキュリテーがありますよ

２
セキュリティーコンサルタント会社に丸投げしたらいいんです。プロなんだから。
当然最善の策を講じなけけばなりません。公的機関なんだから・・

回答No.5

masatsan

どんな物であれ、使う人の問題が根本にあります。
ルールを守ったからとて（きっと今回はルールを守っていないんだろうけど）
新たな脅威には対応できない。
しかし既存の脅威に対してはそれなりの対処（セキュリティ会社）はできるでしょう。
だからそれなりの対処は必要です・
１００％防げるセキュリティソフトはありえません。
何か問題が起きるから対処するしか方法が無いのです。それは社会生活で経験されていますよね。

結論：　セキュリティ会社に金を払わなかったらもっとひどいことになる

補足

それにしても２箇所のセキュリテイーをする抜けるというのは、不備としかいいようがないでしょ

回答No.4

notnot

最新型ウイルスと言うより、専用に開発されたプログラムでしょうね。
メール受信時には、汎用のウイルスでないとアンチウイルスソフトで検知できません。
報道では、悪意を持ったソフトという意味で、わかりやすくウイルスと言ってるんだと思います。

私の勤務先だと、実行ファイルを添付したメールは受信できません。
（送信者にその旨の通知メールが返るはず）
そこまでの対策をしていなかったということでしょうが、セキュリティー会社が提案してなかったのか、提案したけど受け入れられなかったのかどちらでしょうね。あるいは、そもそもセキュリティーコンサルティングを専門会社に依頼しておらず独自にセキュリティーソフトを入れているだけの可能性もある。

補足

今回のウイルスは、入札者を募る公開されたアドレスから進入したようです。

そうすると、やはり、プロバイザー、セキュリテー会社が防げなかったことに疑問です。

回答No.3

bardfish

特定の相手のために作成されたウィルスならセキュリティ会社が知るチャンスは極端に少なくなります。

今回のケースはメールに添付されたファイルを迂闊に開いたことで感染、ですよね。
一般的に出まわるようなものじゃないのでセキュリティ会社では受信した人から提供してもらわないと解析できません。
ウィルススキャンソフトは解析の結果から検出用のパターンを構築して配信するのが一般的。

しかし、ホームページから感染するタイプや一般配布されているアプリケーションに紛れ込んでいるものなら検出できます。

だからセキュリティ会社への委託は無意味ではありません。
不十分なだけです。
特に今回のケースはオペレーションしている人間がマヌケだったために感染しただけ。
不審なメールの添付は開かないよう通達が出ていたのにそれを守らなかった、セキュリティ意識が皆無な人間が悪い。
セキュリティ対策がペンタゴンをはるかに凌ぐ高度なものを導入していたとしても、意識が全くない人がいたのでは効果は半減未満。

公共交通機関で安全なはずの電車でも人的要因で事故は起きていますよね。
安全対策のための機材の設置が遅れたりするのも結局は人間の判断ミスや優先順位付けのミスが原因なんですから。
それと同じです。

補足

今回のウイルスは、入札者を募る公開されたアドレスから進入したようです。

そうすると、やはり、プロバイザー、セキュリテー会社が防げなかったことに疑問です。

回答No.2

nerimaok

特定の相手を狙ったウイルスの場合、対策する側でも検体の入手が出来ませんから対応不可能です。
こういうのに備えて「振る舞い」を調べるとかいろんな手順が開発されてはいますが
それはそれで誤検知が多く困りものです。

結果が0か100かという話では有りません。
90でもしないよりはマシです。

補足

今回のウイルスは、入札者を募る公開されたアドレスから進入したようです。

そうすると、やはり、プロバイザー、セキュリテー会社が防げなかったことに疑問です。

回答No.1

mpascal

最新のものでは無いようですよ。

ワイドショーでは、中央官庁でも注意喚起されていたそうです。

ただ、使用される頻度が少なく、ターゲットを絞った攻撃に使用されていると云ってました。３年間くらいかけて準備していたのではと。

補足

それならセキュリテイー会社の存在価値はないじゃないですか・・
セキュリテイー会社の恥となるでしょう。