記事 セキュリティ総論 中小企業ほど狙われる時代、小規模でもできる「サイバー防御」の新戦略とは 中小企業ほど狙われる時代、小規模でもできる「サイバー防御」の新戦略とは 2024/11/08 サイバー攻撃が高度化し、サプライチェーン攻撃による中小企業の被害が増加している。「中小企業だから狙われない」という考え方は、もはや通用しない。しかも、被害の大きさは企業規模と比例しないケースが多く、億超えの損失が出た事例もある。こうしたサイバーセキュリティの最新動向と、小規模な中小企業でも実践できるセキュリティ対策について、経済産業省サイバーセキュリティ対策専門官、NTTデータセキュリティ＆ネットワーク事業部長を務める鴨田 浩明氏が解説する。
記事 セキュリティ総論 なぜ対策しても侵害される？「何かあったとき」に強いセキュリティ組織の作り方 なぜ対策しても侵害される？「何かあったとき」に強いセキュリティ組織の作り方 2024/11/07 企業がセキュリティ対策を講じていても、インシデントは日々発生しており、ときには深刻な事件へと発展することがある。セキュリティ対策を強化する企業が増える中、そもそも、なぜそれらの対策が十分な効果を発揮しない場合があるのだろうか。本稿では、対策をしても被害が発生してしまう背景と、それを防ぐために有効な「最強セキュリティ組織」の作り方ついて解説する。
記事 標的型攻撃・ランサムウェア対策 警察庁「極めて深刻」…“生成AI悪用”や“ノーウェアランサム”等サイバー犯罪の現状 警察庁「極めて深刻」…“生成AI悪用”や“ノーウェアランサム”等サイバー犯罪の現状 2024/11/06 2024年6月、出版大手企業であるKADOKAWAがランサムウェア被害に遭うなど、サイバー空間をめぐる脅威は深刻な情勢が続いている。セキュリティ対策を講じても、すぐにその対策をかいくぐる新たなサイバー攻撃が発生するためだ。一筋縄ではいかないサイバー空間の安全確保を目的とし、2022年に設置されたのが「サイバー警察局」である。サイバー警察局のサイバー事案の捜査と被害の未然防止・拡大防止に関する取り組みについて、警察庁長官官房審議官（サイバー警察局担当）である阿部文彦氏が解説する。
記事 セキュリティ総論 ランサムウェア攻撃、「即日復旧」できた企業と「ボロボロ」になった企業の違いとは？ ランサムウェア攻撃、「即日復旧」できた企業と「ボロボロ」になった企業の違いとは？ 2024/11/05 企業を取り巻くサイバー攻撃の脅威は日々増大している。中でも特に危険なのは、「攻撃を受けていることに気づかない」という状況だ。ランサムウェアのような攻撃が明示的に現れるケースもあるが、被害の全容を把握し、対策を講じるには時間がかかるケースも多い。サイバー攻撃が企業の事業継続の在り方を問う存在となっている今、求められるものとは何か。徳島半田病院をはじめとした過去の事例をもとに、神戸大学 名誉教授 森井 昌克 氏に話を聞いた。
記事 セキュリティ総論 ラック西本氏が語る「今やるべき対策」、知らないと大損…サイバー攻撃「交渉の現実」 ラック西本氏が語る「今やるべき対策」、知らないと大損…サイバー攻撃「交渉の現実」 2024/11/05 今やサイバーセキュリティ対策は、企業のビジネスを持続的に成功させるための大きな鍵となっている。サイバー攻撃の手口が巧妙化・高度化し続けている中で対抗するためには、対策をアップデートし続けることが必須である。サイバーセキュリティ対策のリーディング企業、ラックの代表取締役社長の西本逸郎氏が、そのポイントを解説する。
記事 標的型攻撃・ランサムウェア対策 なぜ今セキュリティに「エクスポージャー管理」？従来対策と何がどう違うのか？ なぜ今セキュリティに「エクスポージャー管理」？従来対策と何がどう違うのか？ 2024/10/31 企業のデジタル化が進む一方で、サイバー攻撃の脅威は高まるばかりだ。ランサムウェア攻撃のサービス化（RaaS: Ransomware as a Service）や、攻撃に必要な情報の売買市場の出現により、攻撃が効率化・容易化していることがその理由の1つである。また、侵入経路である「アタックサーフェス（攻撃対象領域）」への攻撃ハードルも日に日に下がっている。このような状況の中、企業はどのように対策をすれば良いのだろうか。解決の糸口となる、最新セキュリティ対策「エクスポージャー管理」について、詳しく紹介する。
記事 セキュリティ総論 「これ誰が対応するの…？」多くの企業がEDRを“使いこなせていない”ワケ 「これ誰が対応するの…？」多くの企業がEDRを“使いこなせていない”ワケ 2024/10/31 現代のサイバー脅威はランサムウェアや情報漏えい、RaaS、ソーシャル・エンジニアリング、モバイルマルウェアなど多岐にわたる。こうした環境下で自組織を守るには、EDR／XDRなどの「マルウェアの侵入を前提として、脅威を特定、調査、対応する」セキュリティソリューションが注目を集めている。しかし、実は多くの企業が本当の意味では「EDRを使いこなせていない」実態が明らかになってきた。それはなぜか？ サイバー攻撃の最新動向を踏まえ、EDR／XDRを運用するうえでの問題点や、それを解決するための方法を探る。
記事 ID・アクセス管理・認証 なぜ「パスキー認証」導入企業が急増？ 巧妙な攻撃手段から守るクラウドセキュリティとは なぜ「パスキー認証」導入企業が急増？ 巧妙な攻撃手段から守るクラウドセキュリティとは 2024/10/18 オンラインでのユーザー認証はセキュリティ対策の基本であり、最初に守るべき対象だ。この認証を強化するには多要素認証の導入が不可欠だが、単に導入すればよいわけではない。従来型の多要素認証ではなく、増加の一途をたどる攻撃手法であるフィッシングや中間者攻撃に強い耐性を持つパスキー認証の導入が望ましい。本稿では、最新のサイバー攻撃の手口とそのリスクを低減するパスキーの仕組み、導入方法について解説する。
記事 セキュリティ総論 【経産省の格付け】自社のセキュリティ対策は何レベル？「レベル上げ」対策を完全解説 【経産省の格付け】自社のセキュリティ対策は何レベル？「レベル上げ」対策を完全解説 2024/10/18 多くの企業がサイバーセキュリティ対策の強化に注力する一方、「確実に脅威を防ぎ、万が一の場合でも確実に対応できる」と明言できる企業はそう多くない。こうした中、経済産業省では現在、企業のセキュリティ対策レベルを公的に認証する制度として、「セキュリティ対策レベルの格付け制度」の検討を進めている。当然、企業のセキュリティ対策は、この格付け制度の認証取得を意識して進めていくことが必須となる。では、具体的に何をすれば良いのか。対策レベル別で解説する。
記事 メールセキュリティ 「ファイルのやり取り」が一番ヤバい──情報漏えいのリスクを低減する対策は？ 「ファイルのやり取り」が一番ヤバい──情報漏えいのリスクを低減する対策は？ 2024/10/17 昨今のビジネスでは、オンラインストレージやメール、USB、チャットサービスなど、さまざまな手法で「ファイルのやり取り」をしている。利便性が高くなる一方で、情報漏えいのリスクも増大しているのが現状だ。近年発生した「情報漏えいインシデント」の事例を踏まえて、ファイルのやり取りのセキュリティを確認する必要があるだろう。ファイル共有時の考慮すべきポイント、リスクの種類、リスク低減の効果的な対策について解説する。
記事 セキュリティ総論 目をそらしたら最後「DX負の側面」、名和利男が教える「無意味なセキュリティ対策」 目をそらしたら最後「DX負の側面」、名和利男が教える「無意味なセキュリティ対策」 2024/10/16 今や企業にとって成長と競争力向上の必須条件となっているDX。しかし、DX推進によって生まれた新たな脆弱性により、サイバー攻撃の脅威が増大している事実を見落としている企業は多い。DX推進と並行して、どのようなセキュリティ対策を実施すべきか。サイバーセキュリティの専門家である名和利男氏が語った。
記事 セキュリティ総論 生成AIでサイバー攻撃が超進化、ヤバすぎる「AIの反乱」に備える方法 生成AIでサイバー攻撃が超進化、ヤバすぎる「AIの反乱」に備える方法 2024/10/15 生成AIの登場よって、サイバーセキュリティの分野で新たな問題が生じている。生成AIの作成する攻撃プログラムによって、サイバー攻撃が巧妙化している現状もある。また、AIそのものが攻撃対象となるケースもでてきた。AIとセキュリティとの間にはさまざまな関係が存在しているのだ。東京電機大学名誉教授の佐々木良一氏が、AIとサイバーセキュリティとの関係を整理し、「AIの反乱」の可能性など生成AI時代のセキュリティ対策について解説する。
記事 セキュリティ総論 サイバー攻撃「被害に遭う企業」の特徴、経営者の“いろいろ間違った認識”とは サイバー攻撃「被害に遭う企業」の特徴、経営者の“いろいろ間違った認識”とは 2024/10/11 近年、サイバー攻撃の被害に関する報道を目にする機会が増えている。多くの企業にとってサイバーセキュリティは、最重要課題となってきているはずだが、まだまだ企業の経営者の中には「自社では狙われるような重要な情報は持っていないから大丈夫」と考える人も多いという。また、セキュリティ対策にかけられる予算・リソースも限られ、十分な対策を講じることが難しい状況もある。とはいえ、実際にランサムウェアによる被害は後を絶たない中で、どう対策を講じれば良いか。本記事では、限られた予算・リソースの中で、“ここだけは押さえておくべき対策”を解説する。
記事 Office、文書管理・検索 なぜ生成AIを使いこなせない？ 主原因が「データ管理」「セキュリティ」にあるワケ なぜ生成AIを使いこなせない？ 主原因が「データ管理」「セキュリティ」にあるワケ 2024/10/09 生成AIの進化が目覚ましい。日本企業でも生成AIを導入し、業務効率化や競争力の強化につなげる動きが広がっているが、そのうちの約半数が生成AIを有効活用できていないとする調査結果がある。生成AIの価値を最大化し、かつ安全に運用するためにはどうすればよいか。この記事では「データ基盤のクラウド化」と「クラウドの権限セキュリティ」の観点から、生成AI活用を一歩前進させる方法を解説する。
記事 クラウド 疲弊する情シスを救えるか？「業務効率化」と「セキュリティ強化」を実現する秘策 疲弊する情シスを救えるか？「業務効率化」と「セキュリティ強化」を実現する秘策 2024/10/09 企業が直面する情報システムの課題は、業務効率化とセキュリティ強化である。しかし、情報システム部門の人手不足などにより進展が遅れているのが現状だ。そこで、解決策としてファイルサーバのクラウド化が有効となる。クラウド化により、ランサムウェア対策や安全なファイル送信、個人情報保護の強化を図ることができるのだ。また、業務効率の向上やテレワーク環境の整備にも寄与する。本稿では、そうしたクラウド化による具体的なメリットや、導入時の注意点について詳しく見ていこう。
記事 標的型攻撃・ランサムウェア対策 同じハッカーに攻撃された「KADOKAWAとCDK」を徹底比較、明暗を分けた「ある存在」 同じハッカーに攻撃された「KADOKAWAとCDK」を徹底比較、明暗を分けた「ある存在」 2024/10/08 23 日本で今、企業などを狙ったサイバー攻撃が頻発している。そのためセキュリティ対策に関する議論や取り組みが国を挙げて活発化しているが、その一方で抜け漏れている視点があると筆者は考える。これは、6月に発生したロシア系ハッカー集団「BlackSuit」によるKADOKAWAへの攻撃と、同じくBlackSuitによる米CDKグローバルへの攻撃を比較分析すると浮かび上がってくる。実は、ともに身代金を支払ったと報じられているのは共通しているが、KADOKAWAだけが情報漏えいも起きてしまったとされているのだ。何がこの違いを生んだのか。
記事 セキュリティ開発・DevSecOps 生成AIのセキュリティ脆弱性診断は「使える」のか？ ガートナーが解説する3つの用途 生成AIのセキュリティ脆弱性診断は「使える」のか？ ガートナーが解説する3つの用途 2024/10/07 11 アプリケーション・コードの脆弱性診断は、開発者やセキュリティ担当者にとって少なからず手間とともに知識も要する厄介な業務である。この厄介な業務を、生成AIを活用して効率化するAIが「AIセキュリティ・コーディング・アシスタント（ASCA）」/「コード・セキュリティ・アシスタント」だ。そもそも脆弱性診断で生成AIは本当に有効なのか。また、どうすれば生成AIを脆弱性診断で効果的に活用できるのか。Gartner バイス プレジデント,アナリストのマーク・ホーヴァス氏が解説した。
記事 グローバル・地政学・国際情勢 ヒズボラの「ポケベル爆弾テロ」はなぜ起きた？サプライチェーンの「新たな脅威」とは ヒズボラの「ポケベル爆弾テロ」はなぜ起きた？サプライチェーンの「新たな脅威」とは 2024/10/01 8 ポケベルやトランシーバーを爆弾として使うという前例のない事案が発生した。事件の詳細や全体像はまだ明らかになっていないが、遠隔操作や機器へのハッキング、イスラエルの「8200部隊」の関与が指摘されており、サイバー軍事攻撃という見方も可能だ。ただし、戦時下とはいえ、これまで国が関与していたとされるサイバー攻撃とは異質なものと考えられる。国際法上の問題点も指摘されている今回の事案について、情報を整理しつつ解説する。
記事 セキュリティ総論 【マンガ】「動いているから大丈夫」ではない、「塩漬けシステム」が命取りな理由 【マンガ】「動いているから大丈夫」ではない、「塩漬けシステム」が命取りな理由 2024/09/30 日本のどこかにあるメーカーA社。システム部門の奥野は、更新されていない「塩漬けシステム」のセキュリティリスクに関する記事を読み、自社でも未更新のシステムがないかを、製造部門の先輩である木村に念のため聞いてみることにした。すると、木村から返ってきたのは「インストールしっぱなし」というまさかの返答。システム未更新のリスクを説く奥野に対し、動作していれば問題ないと聞く耳を持たない木村だったが、そこに突如謎のイルカが現れて...？
記事 システム開発総論 デジタル庁謹製「ガバメントクラウド」は何がスゴい？「中の人」が解説 デジタル庁謹製「ガバメントクラウド」は何がスゴい？「中の人」が解説 2024/09/27 デジタル庁のクラウドチームでは、政府共通のクラウドサービスの利用環境として「ガバメントクラウド」を整備している。「ガバメントクラウド」とは、クラウドサービスの利点を最大限に活用し、利用者にとって利便性の高いサービスの迅速な提供と改善を実現するためのクラウド利用環境だ。政府システム全体をクラウドネイティブにしていくための取り組みについて、デジタル庁クラウドユニットユニット長の矢ヶ崎 哲宏氏が解説する。
記事 金融セキュリティ KADOKAWAやイセトーも被害「ランサムウェア」、暗号資産犯罪動向調査に見る実態とは？ KADOKAWAやイセトーも被害「ランサムウェア」、暗号資産犯罪動向調査に見る実態とは？ 2024/09/18 3 身代金を要求するマルウェアの一種である「ランサムウェア」の被害が数年来増加しており、ここ数か月でもKADOKAWAやイセトー、JAXAなど大手企業の報道が相次いでいる。ランサムウェアと併せて確認すべきなのが、身代金のやり取りで使われる「暗号資産とその犯罪動向」だ。本稿ではブロックチェーン分析企業のチェイナリシス ジャパンが発行した「2024 暗号資産犯罪動向調査レポート」を紹介する。一般企業が無視できないランサムウェア攻撃の増加やマネーロンダリング手法の進化、犯罪手法の変遷について解説しよう。
記事 標的型攻撃・ランサムウェア対策 サイバー保険が変えるセキュリティ戦略、ソフトウェア産業との融合で生まれる転機とは サイバー保険が変えるセキュリティ戦略、ソフトウェア産業との融合で生まれる転機とは 2024/09/17 3 8月に行われたBlackhat USAはじめ、国内外のセキュリティカンファレンスを取材したり、関連資料を調査していると、ソフトウェア業界やサイバーセキュリティ業界は一種のパラダイムシフトに直面してきているように感じる。特定の技術革新やブレークスルーがあったわけではないが、ランサムウェア、サイバー保険、ディープフェイクなどが相互に影響を及ぼし、業界構造やセキュリティの考え方に変化をもたらしている。この変化は、業界の背景や役割の本質を改めて問いかけているのではないだろうか。
記事 物流管理・在庫管理・SCM トヨタやWindowsなど頻発する「システム障害」、知らなきゃマズイ「3種のリスク」とは トヨタやWindowsなど頻発する「システム障害」、知らなきゃマズイ「3種のリスク」とは 2024/09/10 1 自社の顧客やサプライヤー、物流会社といったサプライチェーンパートナーがグローバルに広がる中、互いにシステムを連携させて情報のやり取りを効率化させる企業が増えています。その一方、システム障害やサイバー攻撃が起きた際には被害が甚大化しやすいといった副作用をもたらしています。最近では、米クラウドストライクのセキュリティソフトの不具合によるWindowsの大規模障害が記憶に新しいでしょう。こうした事態は次にいつ自社で起きてもおかしくありません。これらの備えとして、企業はサプライチェーン全体でリスク管理を行う必要があります。そこで今回はこの「デジタルサプライチェーン」における3種類のリスクと管理手法について解説します。
記事 政府・官公庁・学校教育 日本政府の“超本腰”サイバーセキュリティ対策、戦略実践「3つの柱」とは何か 日本政府の“超本腰”サイバーセキュリティ対策、戦略実践「3つの柱」とは何か 2024/09/05 年々巧妙化・複雑化し、インシデントの脅威が高まるばかりのサイバー攻撃。こうした事態に対して、政府も「内閣サイバーセキュリティセンター（以下、NISC）」と呼ばれる組織を設置して対策立案を進めている。NISCは具体的にどんな役割を果たしているのか。そして政府のサイバーセキュリティ対策の内容とはどのようなものなのかを解説する。
記事 バックアップ・レプリケーション 【情シス部門1000人に調査】EDR導入も…「利用を継続したくない企業」が続出のワケ 【情シス部門1000人に調査】EDR導入も…「利用を継続したくない企業」が続出のワケ 2024/09/02 ここ数年、サイバー攻撃はますます巧妙化しており、攻撃を完全に防ぐことが非常に困難な状況になってきている。そうした中で、多くの企業が導入・検討を進めているのが、エンドポイントで攻撃をリアルタイムに監視する「EDR（Endpoint Detection and Response）」製品だ。しかしながら、EDR導入後の効果に不満を感じる企業は多い。それはなぜか。今回、情シス部門1000人への調査で判明した、日本企業のEDR利用におけるリアルな実態を解説する。
記事 セキュリティ総論 失敗しがちなゼロトラストは「もう限界」…？ それでも“移行すべき”納得の理由とは 失敗しがちなゼロトラストは「もう限界」…？ それでも“移行すべき”納得の理由とは 2024/08/29 多くの企業でクラウドシフトが進む一方、サイバー攻撃の脅威が増大している。従来の境界型防御モデルで情報を守るのが困難となる中、導入が急務と叫ばれているのがゼロトラストモデルだ。だが、ただ導入すればいいわけではない。ゼロトラストモデルにも限界があり、攻撃者の戦略も日々進化している。そこで今回、ペネトレーションテストやセキュリティ教育などを提供するトライコーダ 代表取締役の上野 宣氏が、攻撃者の視点を交えながら、最新のセキュリティ課題を明らかにしつつ、ゼロトラストモデルへの正しい移行方法について解説する。
記事 製造業セキュリティ 日揮グループが奮闘するゼロトラストセキュリティ、犯罪者から会社を守る“極意”とは 日揮グループが奮闘するゼロトラストセキュリティ、犯罪者から会社を守る“極意”とは 2024/08/28 常態化する企業や政府へのサイバー攻撃。2017年から2022年の5年間で、サイバー攻撃関連の通信数は5倍近く増加している。そうした中、日揮ホールディングスでは「システム／技術的対策」と「社内文化の変革」の両面からサイバーセキュリティ対策に奮闘しているという。大手エンジニアリング企業が取り組む対策事例について、日揮ホールディングス デジタル戦略・IT統括ユニット部長 井上 胤康氏に話を聞いた。
記事 セキュリティ総論 横国大の調査事例に見る「サイバー脅威」、AIやブロックチェーンなど最新技術に要注意 横国大の調査事例に見る「サイバー脅威」、AIやブロックチェーンなど最新技術に要注意 2024/08/26 AIやブロックチェーンなど、最新テクノロジーが普及するにつれ、そうした技術を悪用するサイバー攻撃が増加している。さらに、攻撃の頻度や規模が拡大する中で、その手口も巧妙化・深刻化しているという。私たちの情報はどう狙われ、どのような被害が発生しているのだろうか。横浜国立大学 大学院環境情報研究院／先端科学高等研究院 教授 吉岡 克成氏に話を聞いた。
記事 セキュリティ総論 社員の「セキュリティ意識」どう上げる？ 大成功させる秘密は「6つのステップ」 社員の「セキュリティ意識」どう上げる？ 大成功させる秘密は「6つのステップ」 2024/08/22 近年のサイバー攻撃はますます多様化しており、入り口として個人を狙ったサイバー攻撃が増加している。IPAが発表した「情報セキュリティ10大脅威 2024」によると、トップ10のうち4つが個人を狙った攻撃だった。こうした攻撃に対応するためには、社員一人ひとりのセキュリティ意識を高めることが重要だ。そのために教育が重要となるが、自分事として捉えている社員は少ない。どうすれば、社員のセキュリティ意識を向上できる教育ができるのだろうか。
記事 セキュリティ総論 比較して判明した日本のSaaSの「セキュリティ課題6つ」、使う前にすべきこととは？ 比較して判明した日本のSaaSの「セキュリティ課題6つ」、使う前にすべきこととは？ 2024/08/22 クラウドサービスの利用が拡大する一方、サイバー攻撃の脅威が高まっている。つまり、SaaSのためのセキュリティ対策がより重要性を増しているのだ。しかし海外と日本で比較してみると、日本はセキュリティ投資が十分でないことがわかった。こうした背景から、SaaSを利用する前にセキュリティ評価を行うことが大切という。そこで本稿では、海外SaaSと国内SaaSのセキュリティ対策を比較して見えてきた課題と、その解消方法を解説する。
