経産省、メタップスPに行政処分 - 診断で脆弱性見つかるも報告書改ざん

関係する役職員にも的確に情報共有を行っておらず、業務の遂行状況についても記録されていない状況で、運用監視で発生したアラートも、全件を確認しない状況が続いていたという。

また2021年10月に加盟店向けアプリケーションの管理画面にSQLインジェクション攻撃があったことを認知したが、すみやかに原因究明のフォレンジック調査を実施していなかった。さらに「イベントペイ」ではPCIDSSに準拠しておらず、「会費ペイ」も2022年5月までPCIDSSに準拠していなかった。

こうした状況を踏まえ、同省ではメタップスペイメントに対してクレジットカード番号の流出事故を防ぐための措置として、国際的な基準であるPCIDSSに準拠、継続運用して事故防止に取り組み、措置をすみやかに講じるとともに、再度類似した事故が発生しないよう、第三者機関の検証を踏まえた再発防止策を策定、実行するよう命じた。

また経営体制を見直し、経営責任の所在を明確化するとともに、経営陣主導のもと、セキュリティ対策の内部統制を強化し、報告書の改ざんなどを排除するため、健全な組織風土の醸成や内部監査の実施、業務属人化の解消など、抜本的に業務運営体制を再構築し、第三者機関による検証を行って改善するよう求めている。

同社では、今回の行政処分を受けて「お客様ならびに関係者の皆様には、多大なご心配とご迷惑をおかけしましたことを深くお詫び申し上げます」とコメント。行政処分を厳粛に受け止め、改善措置をすみやかに講じるとしている。

（Security NEXT - 2022/07/01 ）ツイート

経産省、メタップスPに行政処分 - 診断で脆弱性見つかるも報告書改ざん

関連リンク

PR

関連記事