意図せず顧客データを削除、人為的ミスに対しての再発防止策とは
こちらのnoteは、セキュリティ専門家松野によるニュース解説ラジオ「今日の10分セキュリティラジオ」5月18日の放送内容を一部抜粋しご紹介します
・今回の解説ニュース
・原因はサイバー攻撃ではなかった、挙げられた2つの問題
・人為的なミスからのインシデント、再発防止策は？
今回の解説ニュース
クラウド製品の定期メンテナンスにおいて、意図せず顧客データが削除されてしまったということです。人為的なオペレーションミスにより発生したインシデントの内容と対策について説明します。
今回のインシデントは、顧客が使用するクラウド製品のデータが意図せず削除され、アクセスできなくなりました。原因として、削除を依頼したチームと、削除を実行したチーム間の「コミュニケーションギャップ」と、リクエストされている削除の種類の確認を促す警告が表示されないという「不十分なシステム警告」が挙げられています。なお、本事象はサイバー攻撃の結果ではなく、顧客データへの不正アクセスもないということです。
再発防止策として、全てのシステムでの共通した「論理削除」の確立、ディザスタリカバリプログラムを加速し複数サイト・複数製品の削除イベントの復元を自動化、大規模なインシデントのためのインシデント管理プロセスの見直し、大規模なインシデントコミュニケーションプレイブックの作成を行うということです。
原因はサイバー攻撃ではなかった、挙げられた2つの問題
インシデントの原因として挙げられている2つの問題である、コミュニケーションギャップと不十分なシステム警告について説明します。
問題１）コミュニケーションギャップ
コミュニケーションギャップについて、削除を依頼したチームと、削除を実行したチームの間にコミュニケーションのギャップがあり、削除の対象となっているアプリのIDを提供する代わりに、アプリを削除するクラウドサイト全体のIDを提供してしまったことが挙げられています。本来、必要とされるIDとは異なるIDで、かつ広範囲を網羅するIDが提供されたことにより、想定以上のデータが削除されてしまったことが考えられます。
問題２）不十分なシステム警告
不十分なシステム警告について、削除を実行するために使用されたAPIは、サイトIDとアプリIDの両方の識別子を受け入れ、入力された値が正しいことを前提としていた事が挙げられています。つまり、リクエストされている削除の種類がサイトなのかアプリなのか、確認を促すような警告がなされないスクリプトであったため、いかなるIDが渡されても削除されたことが考えられます。
まとめると、人為的なミスを止める機能が実装されていないスクリプトで人為的なミスが発生したことによるインシデントであったということができます。
その他のトピック