Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

経産省、メタップスPに行政処分 - 診断で脆弱性見つかるも報告書改ざん

2018年から2021年にかけて自社で実施したウェブアプリケーションの脆弱性診断では、実施時に「高(High)」「中(Medium)」レベルの脆弱性を複数検出。これら脆弱性をなかったものと報告書を改ざん。PCIDSSの監査で改ざんされた報告書を提示したり、提出していた。

さらに委託先が2020年7月から2021年10月に実施したサーバを対象とするネットワーク脆弱性スキャンにおいても、「高(High)」レベルの脆弱性が複数検出されたが、定義ファイルが未更新だった一部脆弱性をなかったものと改ざん。これら報告書を監査機関に提出していた。

ウェブアプリケーション脆弱性診断の報告書の改ざんについては、情報セキュリティ担当役員が担当者から報告を受けており、ネットワーク脆弱性スキャンの報告書についても、改ざん前後の報告書を承認していた。

一方情報セキュリティ担当役員は、他経営陣に対して脆弱性の検出や提出する報告書の改ざんについて報告しておらず、今回の問題発生後に実施した第三者の原因究明によりはじめて把握することになったという。

クレジットカード決済システムでは、攻撃の検知や防御対策に不備があり、データベースが適切に分離されていなかったほか、脆弱性診断や検出した脆弱性への対応なども、適切に行われていなかったとしている。

(Security NEXT - 2022/07/01 ) このエントリーをはてなブックマークに追加

PR

関連記事

USB紛失で町長ら減給、不正利用判明すれば再度処分を検討 - 佐久穂町
小規模事業者持続化補助金の事務局がランサム被害
JPCERT/CCが攻撃相談窓口を開設 - ベンダー可、セカンドオピニオンも
「auひかり」向けのブロードバンドルータに複数の脆弱性
「違法情報」の通報が約28.2%増 - 「犯罪実行者募集」は4000件超
先週注目された記事(2024年3月17日〜2024年3月23日)
Apple、「iOS」「iPadOS」のセキュリティアップデートを公開
「Firefox 124.0.1」が公開、深刻な脆弱性2件を解消
ブラウザ「MS Edge」にアップデート - 9件の脆弱性を修正
応募QRコードから応募者の個人情報が閲覧可能に - アトレチコ鈴鹿