悪用された脆弱性の傾向分析
2023年1月から2025年1月までの2年間にサイバー攻撃に悪用された脆弱性について、仮説をもとに一定の傾向が存在しないか分析した結果について解説します。
SSVCおよびCVEの併用による脆弱性管理プロセス高度化の可能性
8 results
Loading...
脆弱性開示ポリシーと報奨金制度 ―脆弱性報告窓口運用におけるリスクと企業がとるべき戦略―
昨今の製品セキュリティを取り巻く規制や制度への対応に伴い、企業では脆弱性開示ポリシーの整備が進んでいます。脆弱性を迅速かつ効果的に修正し運用するための、脆弱性を発見した報告者と企業との協力関係の構築と、報告者に対して企業が支払う報奨金制度の活用について解説します。
KEVを用いたEPSSの効果検証
FIRST が開発したEPSSの有効性を測るために、CISAが提供するKEVに掲載された脆弱性のEPSSのスコアが掲載の過去30日から掲載日までの間で実際にどのように変化したかを検証した結果について解説します。
EPSS（Exploit Prediction Scoring System）を活用した脆弱性管理
EPSSは、脆弱性対応の優先度を判断するために、今後30日以内に脆弱性が悪用される蓋然性を一定の計算式によって算出する仕組みです。本稿では2022年2月に公開されたEPSS v2について、その仕組みや活用方法を解説します。
CVSSバージョン4.0の変更点と活用可能性
脆弱性管理における基本的な仕組みとして広く利用されているCVSSの次バージョンのパブリックプレビュー版が2023年6月に公開されました。現行バージョンとの変更点を解説し、SSVCとの対比を行うことで活用のポイントについて考察します。
ユーザー企業におけるSSVCの導入と留意点
本稿では、一般的な企業のCSIRTがSSVCを導入することを想定し、SSVCの決定木の1つであるデプロイヤーツリーについて、そして決定木を構成する各パラメータについて解説します。
ユーザー企業における脆弱性対応の課題とSSVCの活用
本稿では、企業がSSVCを活用するにあたってのメリットおよびデメリット、導入する際の注意点について、前後編の2回にわたって解説します。
SSVC（Stakeholder-Specific Vulnerability Categorization）を活用した脆弱性管理
CVSSの代替手法として提案されたSSVCを解説するとともに、その普及、利活用の可能性について考察します。
Loading...
シリーズ一覧
Loading...
「営業秘密」の保護と利活用
営業秘密は企業の競争優位性を支える重要な知的資産です。本シリーズでは、営業秘密を取り巻く法制度や保護体制の構築プロセスだけでなく、営業秘密を活かした戦略的な利活用方法についても解説します。企業が持つ情報をどのように保護し、ビジネスの成長や競争力強化につなげるかを考察し、実践的なアプローチを提供します。
サプライチェーンセキュリティのトレンドと企業の在り方
サプライチェーンを悪用したサイバー攻撃の被害は近年頻繁に確認され、懸念が高まっています。本シリーズではサプライチェーンを脅かすサイバーリスクや企業の実態、解決に向けた次の一手を解説します。
サイバーセキュリティ・プライバシー法規制のトレンドと企業に求められる対応
各国でセキュリティ法規制が構築されており、各国マーケットへ参入するには法規制および標準の諸要件を満たすことが求められます。中国やEUのセキュリティ法規制・政策を俯瞰し、解説します。
「経済安全保障推進法」企業に求められる対応
地政学的な緊張が高まるなか、自国の脆弱性や潜在的なリスクを低減させる「経済安全保障」の取り組みが各国で進んでおり、日本企業のビジネスへの影響も拡大することが予想されます。2022年に成立した経済安全保障推進法が企業活動に及ぼす影響や、日本企業が安定したビジネス環境を維持し、国際競争力を向上させるために求められる対応について解説します。
生成AIを巡る米欧中の規制動向最前線
対話型生成AIが注目を集めており、社会的に大きなインパクトをもたらすことが期待されています。本シリーズは、主にグローバル展開している企業のIT、サイバーセキュリティ、法務部門の責任者に向けて、生成AIのリスクや海外法規制についてご紹介します。
デジタルアイデンティティの基本概念と最新動向解説
世界中で議論が続けられ、進化し続ける「デジタルアイデンティティ」について、その基本概念と最新動向を解説します。
金融業界における国内外のサイバーセキュリティ動向
日本の金融機関がサイバーセキュリティ対応を進めるにあたり、把握しておきたい各国の法規制や求められる施策などの動向について解説します。
AIサービスのリスクとAIレッドチーム
多くの企業がAIサービス特有のリスクに直面する中、攻撃者視点でリスク評価を行う‟AI レッドチーム”が注目を集めています。AIレッドチームの必要性や実施の要諦について解説します。
IoT適合性評価制度が作るセキュアなIoT社会
IoT機器のセキュリティ品質を評価し、ラベルによって可視化するIoT適合性評価制度が各国で議論・運用されています。この制度によりメーカーが製品のセキュリティ品質を訴求するだけでなく、消費者側も安全な製品を選択できるようになると期待されます。IoT適合性評価制度の狙いや全体像、社会実装に伴う影響を解説します。
パーソナルデータの利活用における効果的な「守り」の施策
本シリーズではパーソナルデータの利活用を成功裏に進めるために必要な「守り」の施策に焦点を当て、パーソナルデータの利活用におけるガバナンスとリスク管理について解説します。
企業評価におけるサイバーセキュリティ情報開示の重要性
経営者やセキュリティ責任者は、サイバーセキュリティやプライバシーの重要性がESGにおいて高まっており、また投資家による企業判断においてもそれらに注目が集まっていることを認識する必要があります。
OSCAL：進化するサイバーセキュリティ評価と管理プロセス
サイバーセキュリティの管理と評価プロセスにおいて実装の事例が出てきているOpen Security Controls Assessment Language（OSCAL）について、概要や活用事例、技術的詳細について解説します。
WP29 CSMSに基づくセキュアな製品開発の実践
自動車OEMやサプライヤーが同法規に対応し、セキュアな製品を開発するためにはどのような点に留意すべきなのでしょうか。「WP29 CSMS」に適応した製品を開発するにあたってのポイントを、実践的な視点から紹介していきます。
PSIRTが認知すべき海外法規制と企業実務の論点
製品セキュリティに関わる海外法規制の最新動向と先進企業の取り組みから得られた製品セキュリティ対応における実践のポイントを解説します。
「PSIRT徹底解説」製品セキュリティ統括組織PSIRTの全貌を解き明かす
本インサイトシリーズでは、製品セキュリティに対応するための体制「PSIRT」に必要となる基本的な取り組みや将来像についてご紹介します。
脆弱性管理の実効力を高めるSBOM
ソフトウェアサプライチェーンの安全性を高めるための仕組みとして、ソフトウェア部品表（SBOM：「エスボム」と発音）があります。SBOMとは何かを解説し、導入に向けてどのような準備をすべきか提言します。
クラウド・AI時代のエコシステムとIT資産管理のポイント
クラウドコンピューティング、人工知能（AI）などのテクノロジーの進展により重要性の高まるエコシステムやIT資産を管理するにあたり、企業が注意すべきポイントについて解説します。
特別対談：デジタルトラストの構築に向けたPwCのアクション
金融機関は近年、サイバー攻撃の主要ターゲットの1つになっています。海外ではランサムウェアやDDoS攻撃で、一時的に取引停止を余儀なくされた被害も報告されています。高度化・複雑化するサイバー脅威に対する各企業の取り組みを紹介します。
特別対談：アカデミアとコンサルティングが切り開く新たな視点
PwCコンサルティング合同会社と慶應義塾大学は2021年10月、「サイバーインテリジェンス連動型セキュリティメトリクス管理」に関する共同研究を開始すると発表しました。取り組みを紹介します。
望ましいサイバーセキュリティの未来
社会のデジタル化が進展する中、サイバーリスクも増加しています。連載シリーズ「望ましいサイバーセキュリティの未来」では各業界における新たなサイバーリスクと、その対策を講じる際の「あるべき将来像」について解説します。
特別対談：車両サイバーセキュリティの未来
急速な普及が見込まれるコネクテッドカー／自動運転車においてサイバーセキュリティ対策は、喫緊の課題です。自動車業界でサイバーセキュリティ活動を推進しているキーパーソンに、車両ライフサイクル全体を見据えたセキュリティ対応について、それぞれの立場から話を聞きます。
車両サイバーセキュリティの未来
車両開発でのサイバーセキュリティ対策活動で特に重要なものが、自動車基準調和世界フォーラム（WP29）と国際標準規格のISO/SAE 21434です。ISO/SAE 21434を題材として、今後実施が求められるサイバーセキュリティ施策を解説します。
WP29への対応～自動運転車のサイバーセキュリティ
WP29 GRVAにおけるサイバーセキュリティとソフトウェアアップデート法規基準を題材として、今後、自動車OEMとサプライヤーに実施が求められる施策を紹介していきます。
サイバーインテリジェンス
サイバー攻撃では情報量や対象範囲の広さの差から攻撃者が有利な状況であり、CISO（Chief Information Security Officer）などのセキュリティ担当責任者は、より積極的なサイバー攻撃への防御戦略を策定しなければなりません。スレットインテリジェンスとその背景にある攻撃者の動向を解説します。
次世代セキュリティマネジメントモデル
サイバーリスクに真摯に向き合い、適切なセキュリティ管理を実践しようとしている企業に向けて、サイバー攻撃が当たり前にある時代にあっても、経済合理性を保ちながらサイバーリスクに対処するサステナブルなセキュリティ態勢を提唱します。
サイバーインテリジェンス活用によるセキュリティ課題の解決
サイバー攻撃の手法は日々進化している一方、従来型のサイバーリスクへの対応アプローチでは新たな攻撃へタイムリーに対応ができず、後手に回る恐れがあります。そのような状況に対し「サイバーインテリジェンス」を活用することが有効な手立ての一つとされています。
SSVCおよびCVEの併用による脆弱性管理プロセス高度化の可能性
脆弱性の基本的な性質に基づいた深刻度を定量評価するCVSS（Common Vulnerability Scoring System）とCVSSの代替手法として提案されたSSVC（Stakeholder-Specific Vulnerability Categorization）。それらの解説するとともに、普及、利活用の可能性について考察します。
デジタル化する工場のサイバーセキュリティ
デジタル化が進む昨今、サイバー攻撃は企業活動の根幹を成すOT（Operational Technology：生産ラインやシステムの制御・運用技術）環境に及んでいます。OT環境の類型化を通じて、OTセキュリティ管理の在り方の検討、および取り組みにおける留意点をお伝えします。
メディカル・ヘルスケア領域でのサイバーセキュリティ―デジタル変革期のイノベーションとどう向き合うか
新型コロナウイルス感染症（COVID-19）の拡大はサイバー脅威動向にも大きな変化をもたらしました。COVID-19のワクチン開発に関連したこれまでのサイバー攻撃を振り返り、今後日本で想定される攻撃シナリオを考察します。
次世代のITインフラ‐ゼロトラスト・アーキテクチャ
2020年8月、米国国立標準技術研究所（NIST）が「Special Publication（SP）800-207 ゼロトラスト・アーキテクチャ（以下、本書）」を正式公開しました。PwCコンサルティング合同会社はNISTから翻訳の許可を取得し、日本語訳を公開することになりました。
脅威ベースのペネトレーションテスト（TLPT）実践からの示唆
日本の金融分野において「TLPT」という言葉はもはや珍しいものではなく、広く認知された言葉となりました。TLPT普及までの国や企業の取り組みを振り返るとともに、本当に効果のあるテストを実施するために求められることを考えます。
CSIRTを進化させる次の一手
「アクティブディフェンス」という理念が企業に求められつつあります。これは、サイバー攻撃の都度対策を講じる受動的な取り組みではなく、能動的に攻撃者にアプローチする考えを言います。今回は、この手法の一つである、攻撃者を罠にかけて捕捉する「サイバーデセプション」について紹介します。
特別対談：次世代のITインフラ‐ゼロトラスト・アーキテクチャ
ゼロトラストを前提にしたセキュリティ構成のソリューションを提供する企業を迎え、顧客から寄せられる課題や製品導入のアプローチなどを伺う本シリーズ。ゼロトラストが求められる背景やゼロトラストのデザインコンセプトを中心にお話を伺いました。
個人情報保護法への対応
2022年4月1日に全面施行された「個人情報の保護に関する法律等の一部を改正する法律」。対応策や業界の動向などを解説します。
各国サイバーセキュリティ法令・政策動向
社会のデジタル化が進展する中、サイバーリスクも増加しています。連載シリーズ「望ましいサイバーセキュリティの未来」では各業界における新たなサイバーリスクと、その対策を講じる際の「あるべき将来像」について解説します。
中国におけるサイバーセキュリティ、データセキュリティ関連の重要な法令解説
中国はICV関連のセキュリティ法規制や標準体系を独自に構築しており、「中国サイバー三法」に加え、ICV関連の法規制および標準の諸要件を満たすことが求められます。法規制・政策を俯瞰し、主要法規制の詳細についても解説します。
AIおよびアナリティクス活用におけるプライバシーの論点
デジタル社会においては、人工知能（AI）およびアナリティクスを活用したデータドリブンなビジネス展開が主流になるでしょう。ただ、そこで企業や組織が気を付けなければならないのが、プライバシーの問題です。安全・安心にデータを取り扱い、顧客や消費者に上質なサービス体験を提供するために、企業に求められることとは何か。議論を進める上で重要になる論点を、シリーズでお届けします。
積極的なデータ活用を見据えた『攻め』と『守り』のプライバシー ― TMI総合法律事務所／PwC
NISTにおいて、プライバシーフレームワークの制定に向けた取り組みが実施されています。NIST Cyber Security Frameworkの姉妹版ということもあり、リリース後の普及が想定される同フレームワークについて解説します。
「信頼」を妥協しない、情報管理のパラダイムシフト
企業が消費者の個人情報を扱う機会が増えています。現代の情報のやりとりにおいて消費者・企業側双方が抱える懸念とその解消に必要な情報管理の3要素について解説します。
技術的な脆弱性リスクを最小限化するためのサイバーハイジーン評価
サイバーインシデントの発生件数が増し、そのリスクが高まる中、サイバー空間の公衆衛生を保つという意味の「サイバーハイジーン」に注目が集まっています。IT環境におけるサイバー空間の公衆衛生を確保するための基本的なセキュリティ対策活動を指します。
Loading...
