情報セキュリティ事故対応アワード

今年も「情報セキュリティ事故対応アワード」が発表されました。今回で第三回目となりますが、セキュリティ事故の発生リスクが年々高まる中、被害を受けた企業の中で対応が良かった所が評価されるという画期的な表彰。改めて参考になる企業も多いのではないでしょうか。

news.mynavi.jp

■主な評価軸

2017年発生の事件が対象
速報性（事故発覚から第一報までの期間）
続報頻度
発表内容（原因、事象、被害範囲、対応内容）
自主的なプレスリリース

■アワード（ノミネート21件）

【最優秀賞】：該当なし

【優秀賞#1】：ディノス・セシール（授賞式に出席無し）

　　　選定理由

　　　　小規模な不正ログインも検知・対応・報告しており、報告書も充実

　　　　防ぎにくいリスト型攻撃にきちんと対応している

【優秀賞#2】：ぴあ / B.LEAGUE（授賞式に出席無し）

　　　選定理由

　　　　事故対応が的確、（パスワードリセットや対応窓口開設が）迅速

　　　　S2-045の脆弱性を突かれた事をきちんとメディア発表

　　　　（補償額で2億円、被害額公表は史上初？）

　　　　2社の連携が図られている

news.mynavi.jp

【特別賞】：2団体（辞退）

◆キタきつねの所感

第三回目の受賞企業の方、おめでとうございました・・・・と素直に受け取ってもらえない部分はあろうかと思います。（実際、優秀賞2組織は授賞式に出席してません）

しかし日本を代表するセキュリティ専門家の方々が、『その事故対応について素晴らしかった』と評価している部分については、誇っても良いのではないでしょうか。ぴあやB.LEAGUEの突かれたStrutsの０ディ脆弱性やディノス・セシールが定期的に襲われ続けている事を発表しているリスト型攻撃（パスワードの使いまわし）については、企業側が完全に悪いという訳では無いかと思います。それでも事件が発生したらマスコミに発表して、事件を起こした事を何故か責められる。

内容がどうであれ（０ディ攻撃であっても）事件を責める風潮が続くと、企業は事件を隠す方が有益であると判断するケースも多くなってくる気がします。そういった意味では、そろそろマスコミ側にも、その責任がどの程度企業側にあったのか（事故対象アワード）の視点を持って事件を報道すべきなのではないでしょうか。

情報セキュリティ事故対象アワードは、そうした事を気づかせてくれる良い機会だと思います。是非、多くの方々の話題にのぼり、このイベントが継続され、そして企業（防衛）側も誇りを持って受賞式に出てきて、事件対応の生の話を語って貰えたら・・・なんて夢想します。

因みに、日本を代表しないセキュリティ専門家であるキタきつねの、私的最優秀賞は、GMOペイメントゲートウェイさんを挙げます。ぴあ/B.LEAGUEさんよりも早く事件を公開された点について、リリースが出たときにGMO-PGさんは相当たたかれました（PCI DSS視点では、実行計画2017が出てすぐだったのもあるでしょうが）。最初に公開したからこそ、ぴあ/B.LEAGUEも事件発表できたかも知れませんし、他社がStruts2の脆弱性に気づけた、防衛が（運よく）間に合った企業も相当あったのではないかと思います。