【不正アクセス】SaaSへの攻撃相次ぐ、利用企業にも情報の再確認を

SaaS事業者が提供する外部サービスへの不正アクセスにより、利用企業の情報が漏えいする事案が相次いでいる。コミュニティープラットフォーム「Commune」への不正アクセスではLINEヤフーやパナソニック、スズキが、ノーコードWeb制作プラットフォーム「Studio」への攻撃ではラクスルや東北電力が影響を受けた。

こうした事案を受け、重要な情報を外部サービスに預けることの是非が議論されている。一方、セキュリティ企業ラックの倉持浩明取締役上席執行役員CTOは、セキュリティを理由にSaaSの利用をやめる動きについて、現時点で具体的な声は聞いていないとしている。

倉持氏は、SaaSをやめて自社でシステムを開発・運用すれば安全になるとは限らないと指摘した。利用企業には最終的な責任があり、委託先の対策能力と自社の運用能力を踏まえて選ぶ必要があるとしている。自社運用では、脆弱性への対応やバックアップ、機器の故障からの復旧などが求められる。

また、SaaS事業者を選ぶ際には、価格や知名度だけでなく、問題発生時にどの期間のログを提供できるかや、情報開示の程度が重視されるとの見方を示した。利用企業に対しては、不要な情報を保持していないか、漏えい時にどのような情報が対象となるかを再確認するよう促した。修正プログラムの適用に伴うサービス停止も、一定程度は許容する必要があるとしている。