Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

経産省、メタップスPに行政処分 - 診断で脆弱性見つかるも報告書改ざん

2018年から2021年にかけて自社で実施したウェブアプリケーションの脆弱性診断では、実施時に「高(High)」「中(Medium)」レベルの脆弱性を複数検出。これら脆弱性をなかったものと報告書を改ざん。PCIDSSの監査で改ざんされた報告書を提示したり、提出していた。

さらに委託先が2020年7月から2021年10月に実施したサーバを対象とするネットワーク脆弱性スキャンにおいても、「高(High)」レベルの脆弱性が複数検出されたが、定義ファイルが未更新だった一部脆弱性をなかったものと改ざん。これら報告書を監査機関に提出していた。

ウェブアプリケーション脆弱性診断の報告書の改ざんについては、情報セキュリティ担当役員が担当者から報告を受けており、ネットワーク脆弱性スキャンの報告書についても、改ざん前後の報告書を承認していた。

一方情報セキュリティ担当役員は、他経営陣に対して脆弱性の検出や提出する報告書の改ざんについて報告しておらず、今回の問題発生後に実施した第三者の原因究明によりはじめて把握することになったという。

クレジットカード決済システムでは、攻撃の検知や防御対策に不備があり、データベースが適切に分離されていなかったほか、脆弱性診断や検出した脆弱性への対応なども、適切に行われていなかったとしている。

(Security NEXT - 2022/07/01 ) このエントリーをはてなブックマークに追加

PR

関連記事

問合フォームより入力された顧客情報が閲覧可能に - 休暇のプランニングサービス
電子マネー「BitCash」の利用者狙うフィッシング - 「残高凍結」と不安煽る
「FFmpeg」に脆弱性、悪意あるmp4ファイルでコード実行のおそれ
ネットバンク不正送金被害が8月下旬より急増 - わずか2カ月で上半期上回る勢い
特定条件で他利用者の個人情報が閲覧可能に - トレカ通販サイト
教諭が試験問題を生徒に漏洩 - 金沢市の私立中
OLAP対応データストアの「Apache Pinot」に脆弱性
IPA、ビジネスメール詐欺対策の特設ページを開設 - 啓発チラシなども用意
診療情報を記録したデジカメを紛失 - さいたま市民医療センター
サイバー攻撃で社内システムに障害、影響や原因など調査 - システム開発会社