FENICSインターネットサービスに関するネットワーク機器からの不正な通信について（セキュリティ強化策および再発防止策のご報告）

2023年3月31日
富士通株式会社

当社は2023年2月20日に当社FENICSインターネットサービスにおける外部への不正通信に関する調査結果を公表しましたが、その調査報告に一部記載させていただいておりましたセキュリティ強化策および再発防止策について、具体的な内容がまとまりましたのでご報告申し上げます。
関係者の皆様には、多大なるご心配、ご迷惑をおかけしておりますことを深くお詫び申し上げます。
本事象を重く受け止め、安心してご利用いただけるようセキュリティ対策をより一層強化してまいります。

1．本事象に至った原因（再掲）

① 一部ネットワーク機器における外部からのアクセス制御不備
一部ネットワーク機器において外部からのアクセス制御が正しく設定できておらず、外部からの不正侵入を遮断することができておりませんでした。また不適切な設定状態のチェックが不十分であったため、設定不備を検出することができておりませんでした。

② ネットワーク機器自身からインターネットへの通信遮断の不備
ネットワーク機器からの通信制限が不十分であったため、インターネットへの通信が可能となっておりました。また、トラフィック監視も不十分であったため、ネットワーク機器自身からの不正な通信を検知することができておりませんでした。

③ 不正アクセス検知の不備
従来の運用においてサービス運用者のログイン状況の監視が不十分であったため、不正アクセスを検知できておりませんでした。

2．セキュリティ強化策の実施状況

すでに実施しておりました対処策に追加して3月末までに以下のセキュリティ強化策を実施いたしました。

① 「通信フローを分析し、不審なトラフィック早期に検知する仕組み」の構築（原因②への対策強化）

不審なトラフィックを検知するための監視整備
専門技術者による脅威の検知に向けた体制強化

② 「ネットワーク機器、サーバー機器における不審な挙動を検知する仕組み」の構築（原因②③への対策強化）

各機器からの通信先・通信量を可視化し、不審な通信を検知し対処するプロセスを整備

③ ネットワーク機器へのログイン認証方式の強化（原因③への対策）

不正ログイン抑止のためネットワーク機器へのログイン認証方式を強化

【ご参考：すでに対処済の施策】

① 不正通信遮断

ネットワーク機器自身へのインターネットからの通信制限を是正および強化（原因①への対策）
ネットワーク機器自身からインターネットへの通信を遮断（原因②への対策）

② 監視強化

ネットワーク機器自身へのインターネットからの不正アクセス監視を強化（原因③への対策）
ネットワーク機器自身からのインターネットへの通信を監視（原因②への対策）

③ サービス運用者アカウントのユーザー名/パスワードリセット（原因③への対策）

④ 不正通信が確認されたネットワーク機器の交換

3．今後の再発防止策について

再発防止に向けて以下の対策を実施することで再発防止に努めてまいります。

① セキュリティ確保・継続的な改善を目的としたセキュリティ統制機能の強化

全社セキュリティ部門の第三者による監査を実施し、セキュリティ対策状況を確認
インシデント防止のための情報収集や対策見直し、およびインシデント発生時に迅速な調査・対応を行う専任体制を整備

② セキュリティ運用ルール・ポリシーの見直し・統一化

全社セキュリティ部門と連携し運用ルール・ポリシー見直し・統一化を実施

③ 定期的なセキュリティ対策の有効性の検証

セキュリティ運用ルール・ポリシーの定期的見直しにより、最新の事例や新たな攻撃パターンへの対応力の強化
セキュリティ対策適用状況の定期確認による対策の有効性確認

なお、これらの再発防止策の履行状況については、引き続き整理しご報告してまいります。
また、当社としてはセキュリティインシデント発生を重大に受け止め、全社セキュリティ部門によるセキュリティ対策状況の可視化とガバナンス強化による対処を強化・徹底してまいります。

以上