委託先のコミュニティシステムに不正アクセス、「マウントカフェ部」会員291名分の情報が閲覧・取得された可能性

運営する側が確かめること

この事件の原因の種類について、一般に言われている基本の確かめ項目です（この事件の会社の対策を推測したものではありません）。

ソフトウェアの脆弱性

• 使っているソフト・部品（CMS・プラグイン・ライブラリ・サーバーのソフト）と版を一覧にし、脆弱性の情報を定期的に照らし合わせる
• 修正版が出たら更新する期限を、重さごとに決めておく（実際に悪用されている脆弱性は最優先）
• 自社で作った画面は、SQL インジェクション・クロスサイト・スクリプティングなど代表的な脆弱性の対策が入っているかを確かめる
• 使っていない機能・古い試作のページ・公開しなくてよい管理画面を外に出さない

根拠の資料：IPA「安全なウェブサイトの作り方」／JVN（Japan Vulnerability Notes）／OWASP ASVS（アプリケーションセキュリティ検証標準）

委託先・取引先から

• 個人データを預ける委託先を一覧にし、安全管理の状態を契約の前と定期的に確かめる
• 契約に、安全管理の決まり・再委託の扱い・事故のときにすぐ知らせることを入れる
• 委託先に渡すデータと権限を、仕事に要る分だけにする（終わったら消す・権限を外す）
• 委託先とつながる接続（リモートの保守など）を一覧にし、使っていないものは止める

根拠の資料：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（委託先の監督）／IPA「中小企業の情報セキュリティ対策ガイドライン」