GSS不正侵入事件におけるデジタル庁の瑕疵 — ゼロトラストが何か分かっていないかも知れない

9月11日にデジタル庁が「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」公表し、同庁が地方自治体にセキュリティー向上を働きかける立場であるため、SNSで非難を浴びている。対策が甘々だった。

脆弱性を放置

VPN機器のセキュリティーホールの埋めるパッチを当てる前に、侵害されたとある。近年は不正侵入事件の過半がVPN機器の脆弱性を突いたものと言われるので、ここがノーガード戦法のように非難されている。

遅すぎる対応

6月25日に異常検知しているが、7月9日まで保守運用担当者アカウントを停止していない。不正侵入されたVPN機器の運用停止もしていない。不正侵入防止システム（IPS）で自動ロックするぐらいで丁度よいのだが。

ゼロトラストになっていない

VPSの接続元IPアドレスなどを制限するべきであった。保守運用担当者アカウントが悪用されたとあるが、保守運用担当者のリモート端末が乗っ取られたとはない。

ファイルは暗号化するなりして、保守運用担当者アカウントの閲覧を制限しておくべきであった。漏洩した可能性があるファイルは、保守運用担当者が閲覧する必要が無さそうである。

IdPによる個別認証や、不正侵入検知システム（IDS）は入れていたが、運用体制ができていなかった。また、ゼロトラストに関して誤解があるかも知れない。

デジタル庁の被害にあったGSSの資料には、庁内からでも庁外からでも都度認証を行い、IDS/IPSで監視を行うことをゼロトラストだと誤認させるものがある。これ自体は無意味ではないが、ゼロトラストの適切な説明ではない。

ゼロトラストの提唱者John Kindervag氏の話では、誰が（何が）どこからどのデータを参照する必要があるかというビジネス要件を把握し、それを満たしつつも、なるべく小さい権限を設定する最小権限戦略（Least Privilege Strategy）こそが基本方針だ。

保守運用担当者アカウントを全面的に信用するのは、ゼロトラストの基本方針に反する。IdPを入れていても、アカウントのパスワードなどの認証情報（クレデンシャル）が漏洩するリスクがある。保守運用担当者に対して、どこから接続する権限を与えるべきか、どの情報を参照する権限を与えるべきかを検討し、制限を加えるべきであった。制限されたリモートアクセス保守運用アカウントからサーバーを乗っ取られたような話かも知れないが、いまのところそういう説明はされていない。