（承前）
（５）問題の全容は解明されたわけではない。３つの疑問がある。
疑問の第一、犯人は誰か？ その意図は何か？
このところ、サイバー攻撃が急増している。
２０１１年夏、三菱重工業をはじめ、複数の防衛関連メーカー、衆議院などをターゲットに、あいついで標的型メール攻撃が発生した。その後も標的型メール攻撃は増加し、２０１４年に検知した標的型メール攻撃は、前年比３．５倍の１，７２３件に達した【警視庁】。
２０１４年１１月、米ソニーピクチャーズエンタテインメント社に対する攻撃があった（北朝鮮の特殊部隊による）。
同年１２月、韓国の原子力発電所が攻撃された（北朝鮮の特殊部隊による）。
２０１５年、年金機構の流出に続き、協会けんぽ（全国健康保険協会）や東京商工会議所など公共団体・組織での情報流出が発覚した。
これらは関連したものか？ それとも別のものか？
標的型メール攻撃は、通常は国などの機密情報や大企業が持つ最先端技術情報を狙う、と考えられている。防衛関連メーカーやソニーの場合は意図が明確だった。
しかし、今回の被害は年金個人情報だけだ。攻撃者の真の狙いは何なのか？ 流出した年金データはどのように利用されているのか？
（６）疑問の第二、被害の全容。
被害は、データ流出だけだったのか？ 年金データがこっそり書き換えられてはいない、と保証できるのか？
社会保険庁のずさんな情報管理は、これまで散々指摘されてきた。年金消失がその代表だが、結局うやむやのままだ。
年金機構への改組後も、２０１５年５月、死亡者に総額５，０００万円以上の年金が支払われていた事件が起きた。死亡者に係る年金問題は、幾つも報道されている。
今回の被害の全容が分からないとすれば、われわれの年金は当てにならないデータに基づいて支給されていることになるはずだ。
（７）疑問の第三、今後のセキュリティ対策。
政府は、マイナンバー制度開始（２０１６年１月）を前に、情報流出対策を急いでいる。自治体のセキュリティを監督する専門部署を設置し、中央官庁と自治体を結ぶネットワークにも不正通信を監視する組織を設け、ＮＩＳＣと連携してサイバー攻撃に備える、という。
こうした対策は確かに必要だ。しかし、十分ではない。それが、今回の事件の教訓だ。
今回の事件では、２つの組織がめざましい働きをした。
（ａ）ＮＩＳＣ・・・・不正な通信が開始された段階で検知。
（ｂ）警視庁・・・・短期間で被害環境を調べ上げ、踏み台とされたサーバーを特定、確保、分析した。
しかし、政府組織全体としては、これらをうまく活用できなかったのだ。不正通信があったのに、感染したパソコンをネットにつないだままにして感染を広げた。しかも、侵入があってから何週間もろくな対策が取られず、責任者にも通報されていなかった。
要するに、
システムがいくらよくできていても、どこかでずさんな運営が行われていれば、全体は脆弱
なのだ。政府は、「日本再興戦略」の中で、第四次産業革命に乗り遅れるな、としている。しかし、そこに至る道のりは極めて厳しい。
□野口悠紀雄「年金機構の情報漏えいから何を学ぶべきか？ ～「超」整理日記Ｎｏ．７６９～」（「週刊ダイヤモンド」２０１５年８月０８・１５日号）
↓クリック、プリーズ。↓
【参考】
「【年金機構】の情報漏洩から学ぶこと（１） ～経緯～」
「【官僚】「年金個人情報」流出を３週間も放置 ～無責任体質～」
（５）問題の全容は解明されたわけではない。３つの疑問がある。
疑問の第一、犯人は誰か？ その意図は何か？
このところ、サイバー攻撃が急増している。
２０１１年夏、三菱重工業をはじめ、複数の防衛関連メーカー、衆議院などをターゲットに、あいついで標的型メール攻撃が発生した。その後も標的型メール攻撃は増加し、２０１４年に検知した標的型メール攻撃は、前年比３．５倍の１，７２３件に達した【警視庁】。
２０１４年１１月、米ソニーピクチャーズエンタテインメント社に対する攻撃があった（北朝鮮の特殊部隊による）。
同年１２月、韓国の原子力発電所が攻撃された（北朝鮮の特殊部隊による）。
２０１５年、年金機構の流出に続き、協会けんぽ（全国健康保険協会）や東京商工会議所など公共団体・組織での情報流出が発覚した。
これらは関連したものか？ それとも別のものか？
標的型メール攻撃は、通常は国などの機密情報や大企業が持つ最先端技術情報を狙う、と考えられている。防衛関連メーカーやソニーの場合は意図が明確だった。
しかし、今回の被害は年金個人情報だけだ。攻撃者の真の狙いは何なのか？ 流出した年金データはどのように利用されているのか？
（６）疑問の第二、被害の全容。
被害は、データ流出だけだったのか？ 年金データがこっそり書き換えられてはいない、と保証できるのか？
社会保険庁のずさんな情報管理は、これまで散々指摘されてきた。年金消失がその代表だが、結局うやむやのままだ。
年金機構への改組後も、２０１５年５月、死亡者に総額５，０００万円以上の年金が支払われていた事件が起きた。死亡者に係る年金問題は、幾つも報道されている。
今回の被害の全容が分からないとすれば、われわれの年金は当てにならないデータに基づいて支給されていることになるはずだ。
（７）疑問の第三、今後のセキュリティ対策。
政府は、マイナンバー制度開始（２０１６年１月）を前に、情報流出対策を急いでいる。自治体のセキュリティを監督する専門部署を設置し、中央官庁と自治体を結ぶネットワークにも不正通信を監視する組織を設け、ＮＩＳＣと連携してサイバー攻撃に備える、という。
こうした対策は確かに必要だ。しかし、十分ではない。それが、今回の事件の教訓だ。
今回の事件では、２つの組織がめざましい働きをした。
（ａ）ＮＩＳＣ・・・・不正な通信が開始された段階で検知。
（ｂ）警視庁・・・・短期間で被害環境を調べ上げ、踏み台とされたサーバーを特定、確保、分析した。
しかし、政府組織全体としては、これらをうまく活用できなかったのだ。不正通信があったのに、感染したパソコンをネットにつないだままにして感染を広げた。しかも、侵入があってから何週間もろくな対策が取られず、責任者にも通報されていなかった。
要するに、
システムがいくらよくできていても、どこかでずさんな運営が行われていれば、全体は脆弱
なのだ。政府は、「日本再興戦略」の中で、第四次産業革命に乗り遅れるな、としている。しかし、そこに至る道のりは極めて厳しい。
□野口悠紀雄「年金機構の情報漏えいから何を学ぶべきか？ ～「超」整理日記Ｎｏ．７６９～」（「週刊ダイヤモンド」２０１５年８月０８・１５日号）
↓クリック、プリーズ。↓
【参考】
「【年金機構】の情報漏洩から学ぶこと（１） ～経緯～」
「【官僚】「年金個人情報」流出を３週間も放置 ～無責任体質～」