全社的なセキュリティポリシー改善にまでつながる
攻撃者目線の侵入テスト

外部からの攻撃を中心に対策を重ねてきたが、内部に侵入された想定での試験は未実施

当社は中央競馬を支えるデジタル先端企業として、ITシステムの提供を行っています。今回はJRA-VANという競馬情報サービスに関するペネトレーションテストを依頼しました。JRA-VANでは住所や名前、メールアドレスなど多くのユーザーの個人情報を取り扱っています。セキュリティに関しては十分に注意をしており、兼ねてから年に1度以上のセキュリティ診断を実施するなど、改善を重ねて強固なシステムを構築しています。一方これまで外部からの攻撃を中心に対策を重ねてきましたが、内部に侵入された想定での試験については実施をしたことがありませんでした。

より強固なセキュリティ体制を構築するため、情報漏洩防止の観点から、内部ネットワークの脆弱性についても調査を行いたく、想定脅威をもとに実際に疑似的な攻撃をしかけて影響を確かめるペネトレーションテストの実施を検討しました。

我々がまったく気づいていなかった観点や手法を実施し、新たな脆弱性を発見することでより強固なシステム構築につながる気付きを得たいと思っていました。今回は想定脅威として外部から受信したメールを通じてマルウェアに感染した後、個人情報を盗まれる可能性があるかという観点で調査を行いました。

試験は本番システム稼働中に実施するため、誤動作や本番データに影響が無いかといった懸念がありました。また難易度が高いことが想定されるため、想定したシナリオ通りに本当に実行できるのか、攻撃をしてみたけど結局個人情報を取得するルートは見つからず新たな対策につながる結果が得られないことを心配していました。