デジタル庁GSSの不正アクセス事案から考える｜保守アカウントと文書取得の監視

正規アカウントの利用でも、文書取得の監視が必要

デジタル庁のGSS事案から業務文書の管理を考える際は、入口の脆弱性対策に加え、保守アカウントが取得できる文書の範囲と、取得後に残る記録を点検します。ログインの成否だけでは、文書持ち出しの調査に必要な情報をそろえられないためです。

以下では、デジタル庁の公表事実と当社の考察を分けます。事実確認は2026年10月15日時点で閲覧した9月11日発表・9月12日更新Q&Aに基づきます。公表されていない侵入手法や製品名を推測する記事ではありません。

公式発表で確認できること

デジタル庁の発表とQ&Aでは、次の経緯が説明されています。

表は横にスクロールできます。

この件数を「流出が確定した人数」と言い換えません。また、具体的な脆弱性やシステム構成には公表を差し控えた事項があります。保守担当者本人の故意、認証情報の取得方法、個々のファイルの持ち出し状況まで推測しないことが大切です。

当社の考察① 保守できる権限と、文書を読める権限を分ける

業務システムの点検では、保守に必要な操作を具体化します。稼働状況の確認、設定変更、問い合わせ調査、文書内容の確認は、それぞれ必要な権限が異なります。保守担当者が常にすべての原本を読める設計なら、アカウント侵害時の影響も広くなります。

• 通常の監視・保守に原本の閲覧が必要か。識別子やエラー情報だけで調査できるか。
• 内容確認が必要な場合、目的、対象、承認者、作業後の権限解除を記録できるか。
• 個人別のIDで操作を追えるか。共同利用のIDに作業者の区別を頼っていないか。
• アカウント停止時に、残っているセッションや自動処理用の資格も確認できるか。

これらは当社が提案する一般的な点検項目です。GSSで各対策が未実施だったと断定するものではありません。認証方式の整理はMFA・SSOの解説、管理権限の別の論点はさくらインターネット事案からの教訓も参照できます。

当社の考察② 「取得が多い」と「誰が読んだ」を分ける

高頻度アクセスの検知は調査開始のきっかけになります。ただし、件数の増加だけでは、不正か通常業務か、どの利用者が行ったかを確定できません。

表は横にスクロールできます。

例えば、月次の一括ダウンロードがある部署では、その目的と担当者を確認できる記録が役立ちます。一方、件数が少なくても権限外の原本取得は調査対象になり得ます。監視の通知条件だけに頼らず、日常業務の想定と証跡を突き合わせます。原本本文や認証の秘密値を監査記録へ複製する必要はありません。

SP-FAXで確認済みの対策と、残る範囲

SP-FAXでは、公開入口での文書取得頻度を接続元IP単位で監視し、基準を超えた場合に当社の運用担当へ通知します。文書ストレージの取得・保存・削除・コピー操作も、当社の事故調査用に記録しています。これは現在の公開機能一覧で説明しています。

ただし、ストレージの記録はAWSの実行主体単位であり、個々のアプリ利用者を識別する文書取得監査とは異なります。利用者単位の取得監査、契約組織への取得通知・ストレージログ提供は対応予定です。主要操作のアプリ監査ログやCSV取得があることから、全原本の取得者まで網羅的に特定できると推測しないようにしてください。

改善の経緯はセキュリティ改善履歴、記録項目の一般的な考え方はFAX監査ログのガイドへ分けて掲載しています。

自社でまず確認する3点

1. 保守ID・管理者IDが読める文書と、その権限を必要とする理由を確認する。
2. 架空の文書で取得操作を行い、どの記録から操作者・対象・成否を追えるか照合する。
3. 異常通知後の確認担当、アクセス停止の判断者、証跡保全の手順を決める。

点検時に実顧客の文書を取得したり、本番アカウントを無断で停止したりする必要はありません。対象と権限を決めた検証環境で確認し、記録が足りない場合は追加の対策を検討します。

よくある質問

約24.6万件は流出が確定した人数ですか？

公式発表は漏えいした可能性のある個人情報の件数です。人数や確定流出数へ読み替えません。

ログが残っていれば、大量持ち出しを防げますか？

ログは調査の材料です。権限を絞る対策、検知後の確認と対応、証跡の保全を組み合わせます。

SP-FAXは利用者ごとの全PDF取得を監査できますか？

現在の公開範囲では、利用者単位の文書取得監査は対応予定です。必要な要件の場合は導入前に適用範囲を確認してください。

公式資料

• デジタル庁：2026年9月11日の公表
• デジタル庁：本事案のQ&A（9月12日更新）