CSAJ、ランサムウェアからソフトウェア開発企業を守る10ヶ条を提起
一般社団法人コンピュータソフトウェア協会(CSAJ)セキュリティ委員会/Software ISACは12月8日、被害が急拡大するランサムウェアからソフトウェア開発企業を守るための注意喚起とガイドラインを発表した。今後、同協会会員への遵守の呼びかけと啓発活動を行う。
調査・レポート・白書・ガイドライン
調査・ホワイトペーパー
ソフトウェア開発企業でサイバー攻撃によるインシデントが発生すると、顧客のみならず、ソフトウェア・サプライチェーン全体に多大な影響を及ぼし、特に、被害が急拡大するランサムウェアは、開発途中のソースコードやデータベースを暗号化し、身代金要求やデータ公開を行うなど極めて悪質化、11月30日にもシステム開発を行う会社がオーダーメイド型ランサムウェアによる標的型攻撃を受け、顧客のプログラム等の資産が流出した旨を発表している。
同協会では、ソフトウェア開発企業の経営者、システム管理者、開発担当者の指針となる以下の具体的な10ヶ条の対策手法を提案、チェックシートを利用して、自社の対策実施状況をコントロールすることを推奨している。
1.開発端末での電子メール閲覧の禁止
2.一般業務と開発業務の端末・ネットワークの分離と脆弱性管理
3.開発業務でのコミュニケーションにはビジネスチャットを利用
4.Officeマクロ(VBA)、PowerShellスクリプトへの電子署名とポリシーの適用
5.ソースコード、重要データのバックアップと分離
6.ローカルAdministrator のパスワードはすべてユニークに設定
7.一般業務での管理者権限の利用禁止
8.アンチウイルスソフトのクイックスキャン、完全スキャンの定期実行と脆弱性修正プログラムの適用訂正の整備
9.ユーザー教育・社内啓発
10.管理端末のネットワーク分離
《ScanNetSecurity》