ICOが英国犯罪歴照会局を譴責処分、2023年の情報漏洩を受けて

英国のデータ保護監督機関は、複数のセキュリティ上の不備が原因で1万人超に影響を及ぼした2023年の情報漏洩を受け、英国犯罪歴照会局（ACRO）に対して譴責処分を下しました。

英国情報コミッショナー事務局（ICO）によると、2022年8月から2023年3月にかけて、ハッカーがACROのウェブサイトおよびコンテンツ管理システム(CMS)への不正アクセスに成功していました。

しかし、ACROの記録管理の不備により、被害者1万920人分のデータが実際に窃取されたかどうかは依然として不明であるとICOは述べています。

それでも今回の漏洩では、氏名、生年月日、住所、国民保険番号、パスポートおよび運転免許証の情報、銀行口座情報、生体認証データ、そして「極めて機微性の高い犯罪歴および特別カテゴリー情報」を含む機密情報が流出しました。

事件後にACROへ寄せられた数十件の苦情の中には、国際児童保護証明書に関連する当事者や、家庭内暴力の被害者からのものも複数含まれていました。

ICOの譴責処分に関する関連記事: ICO、データ不手際でロンドン警視庁を譴責

ICOによるGDPR違反の判断は、主に2つのセキュリティ上の不備に基づいています。パッチ管理の不徹底と、セキュリティ監視の不足です。

ACROのマネージドサービスプロバイダー(MSP)はOSのパッチ適用を担当していたものの、同社が使用するKentico CMSのパッチ適用は対象外だったことをICOは明らかにしました。同治安機関のウェブ開発ベンダーはCMSへのパッチ適用を担っていましたが、パッチ適用が必要なタイミングを特定する責任は負っていなかったと付け加えています。

「ACRO自身は必要なセキュリティパッチの監視を行っておらず、この重要なセキュリティ管理策に対する監督が欠如していました」とICOは指摘しています。

第二に、ACROは「マルウェアの検知・隔離」を行うTrend Microのソリューションを導入していたものの、それが生成したアラートは「確認も対応もされていなかった」ことが報告書で明らかになりました。

「当時ACROがアラートを調査し、適切な対応を行っていれば、それ以上の悪意ある活動を防げた可能性が高い」と同局は述べています。

ICOが他組織に向けて示した助言

譴責処分を下すにあたり、ICOはACROがネットワークセグメンテーションを導入しており、それによって攻撃の被害範囲が抑えられた点、および同局が是正措置を講じた点を考慮しました。

この是正措置には「侵害を受けたインフラの廃止、サービスの他システムへの移行、セキュリティ監視の導入、サイバー脅威に対する可視性の向上、ネットワークセグメンテーションの強化」が含まれます。

同機関が制裁金を免れたのは、公共部門に対する金銭的処分を制限するICOの公共セクター向けアプローチによるところが大きいとみられます。

「組織は、セキュリティ更新の特定、評価、適用について明確な責任体制を確保しなければなりません。また、サイバー攻撃の兆候を迅速に特定・調査し、対応できるよう、効果的な監視体制を整えておく必要があります」と、ICOの民事・サイバー捜査担当グループマネージャーであるJonathan Balmforth氏は述べています。

「今回の事案から得られる教訓は明白です。適切な技術を備えることと同じくらい、適切な方針、責任分担、監督体制を整えておくことが重要なのです。」

ICOは他組織に向けて、以下を助言しています。

• 全システムにわたり、セキュリティ更新の特定・評価・実施に対する責任者を明確に定めること
• 脅威が重大インシデントへと発展する前に特定できるよう、セキュリティアラートを能動的に監視・調査し、必要に応じてエスカレーションする体制を整えること
• 効果的なパッチ管理・脆弱性管理と定期的なセキュリティテストという基本を徹底すること