GMO、2年前に脆弱性を指摘されながら再診断せず。AI診断のグループ適用は事件後

GMOが、2年前に脆弱性の指摘を受けた後も、再び診断を行っていなかった。日経クロステックが報じた。見出しによると、自社で提供しているAIを使った脆弱性診断をグループ内に適用したのは、事件が起きた後だったという。

今回確認できたのは見出しの範囲である。指摘を受けたのがグループ内のどの会社のどのシステムか、誰が指摘したのか、見出しにある「事件」が何を指し、どの程度の被害があったのか、GMO側がこの経緯をどう説明しているのかは、材料からは分からない。

技術的な背景として、脆弱性診断は一度実施すれば終わりではなく、システムの改修や新たな攻撃手法の登場に合わせて繰り返し行う必要がある。指摘を受けた箇所を直したかどうかを確かめる再診断も、対策の一部として扱われるのが一般的だ。

意味合いとしては、外部に診断サービスを提供する立場にあっても、自社グループ内でその仕組みを回せていなかったとすれば、セキュリティの体制が組織の中で十分に機能していなかった可能性があるとみられる。詳しい経緯は、同社の説明や続報を待って判断する必要がある。