Сүүлийн хэдэн долоо хоногт Японы компани, байгууллагууд хууль бус нэвтрэлтээс үүдэлтэй мэдээлэл алдагдсан тухай ар араасаа мэдээлсээр байна. Та бүхний зарим нь бизнесийн түншээсээ «Танай вэбсайт аюулгүй юу?» гэсэн асуулт авсан байж магадгүй. Гэсэн хэдий ч олон вэбсайт нээгдсэнээсээ хойш олон жилийн турш огт хөндөгдөлгүй хэвээр байдаг. Энэхүү нийтлэлд Японы засгийн газар болон төрийн байгууллагуудын материалд үндэслэн мэдээллийн технологийн тусгай ажилтангүй компаниуд ч шалгаж болох зүйлсийг нэгтгэлээ.
1. Одоо юу болж байна вэ
Засгийн газар болон IPA шалгаж, хянахыг уриалж байна
2026 оны 10-р сарын 9-нд Японы Засгийн газрын Хэрэг эрхлэх газрын Үндэсний кибер аюулгүй байдлын алба хууль бус нэвтрэлтээс үүдэлтэй сүүлийн үеийн мэдээлэл алдагдлын тохиолдлуудад хариу арга хэмжээ авах тухай баримт бичиг нийтэлсэн. Вэб системийн сул талыг ашигласан, гэрээт гүйцэтгэгчээр дамжин нэвтэрсэн, мэдээллийн удирдлага сул байснаас болж их хэмжээний хувийн мэдээлэл хулгайлагдсан олон тохиолдлыг дурдаад, бизнес эрхлэгчид, ялангуяа их хэмжээний хувийн болон нууцлал өндөртэй мэдээлэл эрхэлдэг байгууллагуудыг хамгаалалтын арга хэмжээг нягт хэрэгжүүлэхийг уриалжээ. Арга хэмжээ нь дараах гурван чиглэлд хуваагдана:
- Вэб системийг зохих ёсоор удирдах: шинэчлэлтийг цаг алдалгүй хийх, дэмжлэг нь дууссан бүтээгдэхүүнийг ашиглахаа болих, олон хүчин зүйлийн баталгаажуулалт нэвтрүүлэх, ажлаас гарсан ажилтнуудын болон ашиглагдахгүй бүртгэлийг идэвхгүй болгох
- Нийлүүлэлтийн сүлжээгээр (гэрээт гүйцэтгэгч гэх мэт) дамжих нэвтрэлтээс хамгаалах: аюулгүй байдлыг гэрээт гүйцэтгэгчтэй хамтран удирдах, тэдний аюулгүй байдлын төлөвийг шалгах, гэрээнд аюулгүй байдлын шаардлагыг тодорхой тусгах
- Мэдээллийг зохих ёсоор удирдах: зөвхөн шаардлагатай хамгийн бага мэдээллийг хадгалах, шаардлагагүй болсныг устгах, хандалтын бүртгэлийг (лог) цуглуулж хянах
Баримт бичигт кибер халдлагын хохирол «зөвхөн мэдээллийн технологийн хэлтсийн асуудал байхаа больсон» гэж дүгнээд, удирдах албан тушаалтнуудыг үүнийг удирдлагын асуудал гэж үзэхийг хүссэн байна.
Мөн өдөр IPA (Японы Мэдээллийн технологийн сурталчилгааны агентлаг) нэн даруй авах арга хэмжээний жагсаалтыг нийтэлж, байгууллагуудыг интернэтэд ил гаргасан системээ тодорхойлж, бүртгэлээ (лог) шалгах, ашигладаг гадны үйлчилгээгээ жагсаах, хадгалж буй мэдээллээ дахин хянахыг уриалсан.
Хохирлын гол хэсэг жижиг, дунд үйлдвэрт ногдож байна
Японы Үндэсний цагдаагийн газрын «2025 оны кибер орон зай дахь аюул заналын байдал» тайланд (2026 оны 3-р сард нийтэлсэн) дурдсанаар 2025 онд золиос нэхэгч хортой програмын 226 халдлага бүртгэгдсэн бөгөөд байгууллагын хэмжээгээр авч үзвэл өмнөх оны нэгэн адил жижиг, дунд үйлдвэрүүд ойролцоогоор 60%-ийг эзэлжээ. Хохирол амссан байгууллагуудын дунд явуулсан судалгаагаар тэдгээрийн талаас илүү нь сэргээн засварлахад нийт 10 сая иен буюу түүнээс дээш зардал гаргасан бөгөөд нэг сарын дотор сэргээж чадсан нь дөнгөж талаас арай илүү байв.
Мөн судалгаагаар золиос нэхэгч хортой програмын нэвтрэх замын 60 гаруй хувийг VPN төхөөрөмж эзэлсэн байна. Зөвхөн вэбсайт төдийгүй гадны хэрэглэгчдийг дотоод сүлжээнд холбодог тоног төхөөрөмжийн шинэчлэлт зогсоогүй эсэхийг шалгах нь чухал.
IPA-гийн «Мэдээллийн аюулгүй байдлын 10 томоохон аюул 2026» (байгууллагын хэсэг) жагсаалтад золиос нэхэгч хортой програм нэгдүгээр, нийлүүлэлтийн сүлжээ болон гэрээт гүйцэтгэгчдийг онилсон халдлага хоёрдугаар, системийн эмзэг байдлыг (сул талыг) ашигласан халдлага дөрөвдүгээр байранд жагссан. Одоо зөвхөн өөрийн компани төдийгүй бизнесийн түнш, гэрээт гүйцэтгэгчдээ хамгаалах нь хүлээгдэж байна. Жижиг, дунд үйлдвэрүүд аюулгүй байдлаа бэхжүүлснээр түншүүдээ хамгаалахад ч хувь нэмэр оруулна.
2. Вэбсайт дээрээ шалгах 10 зүйл
Өөрийн вэбсайт дээр шалгах зүйлс дараах байдалтай. Хэрэв вэб хөгжүүлэгч эсвэл засвар үйлчилгээний компани таны сайтыг удирддаг бол энэ жагсаалтыг үзүүлээд хариулт өгөхийг хүсэхэд л хангалттай.
| № | Шалгах зүйл | Анхаарах зүйлс |
|---|---|---|
| 1 | Холболт шифрлэгдсэн үү (HTTPS)? | Хаяг нь хөтчийн анхааруулгагүйгээр «https://»-ээр эхэлж байна уу? SSL гэрчилгээний хугацаа дууссан эсэх, автоматаар сунгагдахаар тохируулсан эсэх? |
| 2 | CMS болон плагинууд хамгийн сүүлийн хувилбартай юу? | CMS (WordPress гэх мэт), плагин, загварыг хамгийн сүүлд хэзээ шинэчилсэн бэ? Ашиглагдахгүй плагин эсвэл функц суулгагдсан хэвээр байна уу? |
| 3 | Дэмжлэг нь дууссан бүтээгдэхүүн ашиглаж байна уу? | Серверийн үйлдлийн систем (OS) эсвэл PHP зэрэг ажиллах орчны дэмжлэг дууссан уу? |
| 4 | Админы нэвтрэлт хамгаалагдсан уу? | Нууц үгийг таахад амархан уу? Олон удаа буруу оруулсны дараа түгжигддэг эсэх, хоёр шаттай баталгаажуулалт зэрэг олон хүчин зүйлийн баталгаажуулалт байгаа эсэх? |
| 5 | Ашиглагдахгүй бүртгэл идэвхтэй хэвээр байна уу? | Ажлаас гарсан ажилтнууд эсвэл өмнөх вэб хөгжүүлэгч компанийн бүртгэл үлдсэн үү? Админы эрхийг зөвхөн шаардлагатай хүмүүст олгосон уу? |
| 6 | Нууц байх ёстой мэдээлэл гаднаас харагдаж байна уу? | Нэвтрэх нэр, програм хангамжийн хувилбар, тохиргооны файл, нөөц файл эсвэл ажлын тэмдэглэл гадны хүмүүст харагдах газар байршсан уу? |
| 7 | Холбоо барих маягтын мэдээлэл хаана хадгалагддаг вэ? | Маягтаар ирсэн хувийн мэдээлэл хаана, хэр хэмжээгээр хадгалагдаж байна вэ? Шаардлагагүй болсон мэдээллийг устгадаг уу? |
| 8 | Нөөц хуулбар авдаг уу, түүнээсээ сэргээж чадах уу? | Бодитоор сэргээж чадах уу? Сайтаас тусад нь хадгалдаг уу? |
| 9 | Гэрээт гүйцэтгэгчтэй үүргээ тодорхой хуваарилсан уу? | Сервер, домэйн, сайтын шинэчлэлтийг хэн хариуцдаг вэ? |
| 10 | Ямар нэгэн асуудал гарвал хэнтэй холбогдохоо мэдэх үү? | Сайтын агуулгыг хууль бусаар өөрчилсөн эсвэл сайт ажиллахаа больсон тохиолдолд хэнд мэдэгдэж, хэн шийдвэр гаргах вэ? |
2 ба 3-р зүйлийн хувьд засгийн газрын анхааруулгад ашиглагдахгүй систем, функцийг зогсоох буюу устгах, дэмжлэг нь дууссан бүтээгдэхүүн, хувилбарыг ашиглахгүй байхыг мөн уриалсан. 4 ба 5-р зүйл нь мөн баримт бичигт олон хүчин зүйлийн баталгаажуулалт нэвтрүүлэх, шаардлагагүй бүртгэлийг идэвхгүй болгох гэж, 10-р зүйл нь осол зөрчилд хариу арга хэмжээ авах тогтолцоог бэлтгэх гэж тус тус тусгагдсан.
Хамгийн их анзаарагдалгүй өнгөрдөг нь 9-р зүйл юм. Серверийг өмнөх ажилтан, домэйныг өөр компани, сайтын шинэчлэлтийг вэб хөгжүүлэгч компани хариуцаж байгаа үед хамгийн аюултай нөхцөл бол «хэн ч шинэчлээгүй байсан» гэдэг явдал юм. Эхлээд хэн юуг хариуцдагийг бичиж гаргаарай.
3. Бүгдийг өөрөө хийх шаардлагагүй
10 зүйлээс 1, 5, 9 ба 10-р зүйлийг компани дотроо шалгах боломжтой. 2-оос 4, 6-аас 8-р зүйлс нь сервер болон CMS-ийн тохиргоотой холбоотой тул мэргэжлийн мэдлэг шаардагдаж магадгүй.
IPA жижиг, дунд үйлдвэрт зориулсан мэдээллийн аюулгүй байдлын удирдамжийг (4.0 хувилбар) нийтэлдэг бөгөөд 25 асуултад хариулж өөрийн байдлаа шалгах үнэгүй өөрийгөө үнэлэх хэрэгслийг санал болгодог. Эхлээд ийм төрийн материалаас ерөнхий дүр зургийг ойлгож, өөрсдөө шийдэж чадахгүй хэсгээрээ мэргэжилтэнтэй зөвлөлдөх нь бодитой арга юм.
4. LEONIA-гийн аюулгүй байдлын үнэгүй шалгалт
LEONIA таны вэбсайтын аюулгүй байдлыг гаднаас нь үнэгүй шалгадаг. Нийтэд ил байгаа мэдээлэлд үндэслэн дараах зүйлсийг шалгаж, үр дүнг танд мэдэгдэнэ:
- HTTPS (шифрлэлт) болон гэрчилгээний төлөв
- Нэвтрэх нэр эсвэл хувилбарын мэдээлэл ил гарсан эсэх
- Админы нэвтрэлт хамгаалагдсан эсэх
- Зөвшөөрөлгүй нэвтрэлтээс сэргийлэх бэлэн байдал
- Нууц байх ёстой файл эсвэл тохиргоо гаднаас харагдаж байгаа эсэх
- Мэдэгдэж буй сул тал болон дутуу тохиргоо
Шалгалтын дараа арга хэмжээ шаардлагатай бол агуулгыг нь тайлбарлаж, үнийн санал гаргаж өгнө. Мөн тогтмол шалгалт, шинэчлэлт зэрэг байнгын засвар үйлчилгээг хариуцах боломжтой.
LEONIA вэбсайт бүтээдэг. Сайтыг нээсний дараа үргэлжлүүлэн хамгаалах нь мөн адил ажлын нэг хэсэг гэж бид үздэг. Хэрэв сайт тань аюулгүй эсэхэд эргэлзэж байвал манай холбоо барих маягтаар «аюулгүй байдлын шалгалт» гэж бичээд бидэнтэй холбогдоно уу.
Энэхүү нийтлэл нь төрийн байгууллагуудын нийтэлсэн материалд (2026 оны 10-р сарын 14-ний байдлаар) үндэслэсэн ерөнхий мэдээлэл юм. Өөрийн нөхцөл байдалд тохирсон арга хэмжээний талаар мэргэжилтэнтэй зөвлөлдөнө үү.
Эх сурвалж (япон хэлээр): Японы Засгийн газрын Хэрэг эрхлэх газрын Үндэсний кибер аюулгүй байдлын алба (2026 оны 10-р сарын 9) / IPA-гийн анхааруулга (2026 оны 10-р сарын 9) / Японы Үндэсний цагдаагийн газар, 2025 оны кибер орон зай дахь аюул заналын байдал (2026 оны 3-р сар) / IPA, Мэдээллийн аюулгүй байдлын 10 томоохон аюул 2026 / IPA, Жижиг, дунд үйлдвэрт зориулсан мэдээллийн аюулгүй байдлын удирдамж, 4.0 хувилбар
Түгээмэл асуултууд
- Жижиг компанийн вэбсайт ч халдлагад өртөх үү?
- Өртөх магадлалтай. Японы Үндэсний цагдаагийн газрын мэдээлснээр 2025 онд бүртгэгдсэн золиос нэхэгч хортой програмын халдлагын ойролцоогоор 60% нь жижиг, дунд үйлдвэрт ногдож байжээ. Компанийн хэмжээнээс үл хамааран шинэчлэлт болон нэвтрэлтийн хамгаалалтаа шалгаж байх нь чухал.
- Вэбсайтаа хөгжүүлэгч компанид даатгасан бол санаа амар байж болох уу?
- Гэрээний агуулгаас хамаарна. Сервер, домэйн, сайтын шинэчлэлтийг тус бүр хэн хариуцаж байгааг шалгана уу. Засгийн газрын анхааруулгад ч аюулгүй байдлыг гэрээт гүйцэтгэгчтэйгээ хамтран удирдах хандлагыг шаардаж байна.
- LEONIA-гийн үнэгүй шалгалтад юу багтдаг вэ?
- Нийтэд ил байгаа мэдээлэлд үндэслэн HTTPS болон гэрчилгээний төлөв, нэвтрэлтийн хамгаалалт, нууц байх ёстой мэдээлэл гаднаас харагдаж байгаа эсэх зэргийг шалгаж, үр дүнг танд мэдэгдэнэ. Арга хэмжээ шаардлагатай бол агуулгыг нь тайлбарласны дараа үнийн санал гаргаж өгнө.