セキュリティマネジメント

徳丸浩氏に聞く、PHP脆弱性への緊急対応から考える企業の備え 危険度の見…

2026年10月21日、プログラミング言語「PHP」の開発元であるThe PHP Groupは、認証なしで遠隔からコードが実行されるおそれのある深刻な脆弱性2件を修正したセキュリティリリースを公開しました 1。いずれの脆弱性も深刻度はCVSS4.0において「9.2」のCriticalと評価されています 2。 PHPはWebサイトの約7割で使われているとされ、本件は世界的な影響を及ぼしました 3。国内では、省庁や金融機関、SaaSの提供企業をはじめ数多くの組織が、セキュリティ被害の予防や修正版の適用作業のために、サービスを一時停止しました 4。また、高市 早苗総理大臣もXで、修正版の速やかな適用が難しい場合はサイトの一時停止もリスクを下げる有効な手段だとして対応を呼びかけるなど、異例の事態となりました 5。 あるソフトウェアに重大な脆弱性が見つかったとき、それが自社のどこで動いているのかを把握し、サービスを止めるかどうかを迅速に判断できる体制を整える重要性が、本件により改めて顕在化しました。今回の脆弱性の危険度と、本件を踏まえて企業が平時から備えておくべき対策について、Webセキュリティの第一人者である徳丸 浩氏に聞きました。

2026/10/29

「セキュリティ対応組織の教科書」から紐解く、セキュリティ組織の構築方法と考え方

SOC・CSIRT担当者必見の体制構築ガイド「セキュリティ対応組織の教科書」…

本連載では、企業や組織におけるセキュリティ体制を構築・運用するヒントを紹介してきました。その指針として、日本発の知見でありながら国際標準である「ITU-T勧告X.1060 1」と、そのベースにもなった、日本セキュリティオペレーション事業者協議会の「セキュリティ対応組織の教科書 2」を題材に解説をしました。ドキュメントの成り立ちから、実際に組織で利用するためにはどうするかまで、日本で議論を進めている同協議会のセキュリティオペレーション連携ワーキンググループのメンバーを中心に執筆してきました。 前回（第6回）は、日本ネットワークセキュリティ協会のX.1060マップ活用ワーキンググループから、それぞれのサービスに対応してどんなサービスが各社から提供されているのか、考え方や成果物を紹介しました。最終回である今回は、各ドキュメントの最新動向と、今後の展望についてお伝えします。

武井 滋紀

SCSKセキュリティ株式会社 エバンジェリスト

2026/10/27

武田一城の「経営層に必要なセキュリティの心得」

セキュリティインシデントはなぜ多発するのか？ RPGの王様と勇者の関係で…

2026年秋、多くの企業で不正アクセスや個人情報漏えいのインシデントが公表されています。これだけ聞くとこれまでとさほど変わらないように見えますが、違うのはその数です。信じられない数のサイバー被害が発生しています。 このようなインシデントが発生する理由として、マスコミやSNSではAIの進化などが取り沙汰されています。背景や市場環境として、それは確実にあるでしょう。しかし、実際には企業ごとに状況は異なります。 今回は、このインシデントの発生理由を、ロールプレイングゲーム（RPG）に例えて説明を試みました。このような例えを荒唐無稽と思う方もいるかもしれませんが、地球の裏側にいる攻撃者がサイバー空間を伝って攻撃してくるという状況は、一般の方からするとゲームの世界にしか思えないという意見もあります。10月9日には、政府からの注意喚起も出ました 1。この例え話で少しでも自分事として捉えていただければと思っています。 また、この連載のタイトルは「経営層に必要なセキュリティの心得」としています。統計によると経営者の30％は50代ということです。その世代なら、ちょうどRPGが流行した時代を過ごした方が多いでしょう。そのため筆者としても、突拍子もないという印象を与えるかもしれないと思いながら、セキュリティやインシデントの本質の理解のために、今回のテーマとしました。

武田 一城

株式会社ベリサーブ

2026/10/23

徳丸浩氏に聞く、タイムズカー事案から考えるユーザーデータ管理 保管場所…

タイムズモビリティ株式会社は9月25日、同社が運営するカーシェアリングサービス「タイムズカー」のWebシステムが第三者による不正アクセスを受けたことを公表しました 1。漏えいしたアカウント数は約660万件であり、対象には現会員のほか、退会済みの会員や、入会を申し込んだものの完了していない人も含まれるとしています 2。 また9月29日には、運転免許証や公共料金の請求書などの本人確認書類の画像が漏えいしたアカウントが約160万件にのぼることも明らかにしました 3。 会員向けサービスでは、入会時にさまざまなデータをユーザーから預かることが一般的です。こうしたデータを性質に応じてどう分け、どう守り、不要になったデータをどう消去すべきなのか。データ管理の考え方と具体策を、Webセキュリティの第一人者である徳丸 浩氏に聞きました。

2026/10/16

「セキュリティ対応組織の教科書」から紐解く、セキュリティ組織の構築方法と考え方

必要なセキュリティ対策を「言語化」して「実装」する方法 判明した課題と…

本連載では、日本セキュリティオペレーション事業者協議会が作成した「セキュリティ対応組織の教科書 1」と、それを基に国際標準化された「ITU-T勧告X.1060 2」を取り上げてきました。 本稿では、これらを実際に活用すべく立ち上がった取組みと、その先に目指している姿を紹介します。なお、本稿において意見にわたる部分は、いずれも筆者の私見であり、筆者が所属する組織の見解を代表するものではありません。

小坂 和哉

日本ネットワークセキュリティ協会 調査研究部会 X.1060マップ活用ワーキンググループ リーダー／株式会社NTTデータ テクノロジーセグメント インフラストラクチャ事業本部 エンジニアリング事業部

2026/09/30

従業員のシャドーIT・シャドーAIにどう備える？ 事例に学ぶ法的リスクと規…

長瀨 佑志

弁護士法人長瀬総合法律事務所 弁護士

2026/09/17

会社で禁止しているフリーWi-Fiを従業員が利用していたら？ 初動対応・報…

長瀨 佑志

弁護士法人長瀬総合法律事務所 弁護士

2026/09/01

「セキュリティ対応組織の教科書」から紐解く、セキュリティ組織の構築方法と考え方

セキュリティ対応組織の「線引き」基準 教科書を基に優先順位を付け、役割…

本連載ではこれまで、SOC/CSIRTといったセキュリティ対応組織を組織という「箱」として捉えるのではなく、企業全体のセキュリティ対応能力として設計する視点を整理してきました。前回（第4回）は、自社に合ったセキュリティ組織の業務範囲をどのように定めるかを「リスクの軸」という観点から整理しました。 第5回となる本稿では、その実務への落とし込みとして、「ITU-T勧告X.1060 1」と「セキュリティ対応組織の教科書 2」が示すフレームワークを使い、機能設計・評価・優先順位付けをどのように進めるべきかを解説します。

角田 玄司

SCSKセキュリティ株式会社 サービスデリバリ事業本部 セキュリティアーキテクト部 セキュリティデリバリ課

2026/08/31

ランサムウェア対策としてのバックアップの最適解と落とし穴 目的設定から…

ランサムウェア攻撃が多発する中、被害を受けた際にいかに早くビジネスを立て直せるかは、バックアップからの復元可否が大きく左右します。一方で、バックアップを取っていた企業の約8割が有事に「復元できなかった」とする調査結果もあります 1。有事に、バックアップから確実に復元できるようにするためには、どのような対策が必要になるのでしょうか。 本記事では、近年のランサムウェア攻撃の手口や、バックアップを有効に機能させるための「3-2-1-1-0ルール」、有事の復元手順、平時から実施すべき訓練と体制づくりについて、AWS Backup、Google Cloud Backup and DRをはじめ、クラウドサービスによる提供機能を活用したバックアップソリューションの導入・支援を行うKDDIアイレット株式会社のシニアセキュリティエンジニア 中村 昌登（しろうさ）氏に聞きました。

2026/08/24

「セキュリティ対応組織の教科書」から紐解く、セキュリティ組織の構築方法と考え方

セキュリティ組織図より先に決めるべき「業務範囲」の定め方 自社リスク起…

本連載では、日本セキュリティオペレーション事業者協議会の「セキュリティ対応組織の教科書」1 と、これをベースに整理された「ITU-T勧告X.1060」2 を題材に、企業や組織におけるセキュリティ対応組織の考え方を解説します。 第4回となる本稿では、「自社のセキュリティ組織では何を主担当として持ち、何を共同で担い、何を他部門や外部に委ねるのか」を扱います。組織の理想形を探すのではなく、事業リスクの見方をそろえながら、自社に合った守備範囲を設計する視点を整理します。なお、本稿において意見にわたる部分は、いずれも筆者の私見であり、筆者が所属する組織の見解を代表するものではありません。

後藤 啓太

オリックス・システム株式会社 基盤統括本部 基盤セキュリティ管理部 セキュリティ推進チーム チーム長

2026/07/22

両備システムズ – 目的の明確化と経営陣の巻き込みにより、実効的な…

昨今、有名企業が次々とランサムウェア被害を受けている実態が示すように、企業のサイバーリスク対策は、個別の脅威への技術的な対応を積み重ねるだけでは対処しきれない領域に達しています。サイバーセキュリティ対策を正しく実装・運用し、有事に適切な対処を行えるようにするためには、経営層から現場まで全社員がリスクを自分ごととして捉え、平時から組織全体でセキュリティに取り組む体制づくりと、インシデント発生時に適切な動きが取れるようにするための事前の準備が欠かせません。 岡山県を創業の地とするシステムインテグレーターである株式会社両備システムズは、一般社団法人 日本シーサート協議会からのアドバイスをもとに自社CSIRTの「Ryobi-SIRT」を構築し、目的を明確化したインシデント対応訓練を実施しています。本記事では同社の取組み事例をもとに、経営層・役員を巻き込んだCSIRT体制の構築方法と、現場の意見も踏まえた効果的な訓練の実施方法について紹介します。

2026/07/15

YKK APが明かす、セキュリティインシデント訓練の実践例 身代金要求への対…

サイバー攻撃による事業停止が現実の脅威となるなか、「有事に本当に動けるか」を問い直す機会として、インシデント対応訓練への関心が高まっています。しかし、自社の取組みが本当に十分なのか、不安を抱えているセキュリティ担当者も多いのではないでしょうか。 YKK AP株式会社でセキュリティ・ガバナンス部 部長を務める齋藤 充宏氏（※）は、2026年3月に登壇したセミナーにおいて、同社が取り組むIT-BCM活動の全体像や、セキュリティインシデント訓練を読み上げ型から状況付与型へと発展させた過程、具体的なシナリオ・訓練方法・評価結果に至るまでを紹介。身代金要求への対応判断や記者会見訓練といった踏み込んだ事例も含め、実践例を詳細に明かしました。 （※）齋藤氏の肩書や本文中の各種体制は講演当時（2026年3月17日）のものです。

2026/07/14

武田一城の「経営層に必要なセキュリティの心得」

経営層とセキュリティ現場の断絶に潜む「3つの壁」 構造的欠陥をIT史から…

前回は、サイバー攻撃による被害が経営を揺るがす時代になったにもかかわらず、多くの企業で経営者とセキュリティ担当者の間に深い断絶が存在していることについて述べました。 重大なインシデントが発生するたびに、経営者は「なぜ防げなかったのか」と問い、現場のセキュリティ担当者は「サイバー攻撃の脅威とそのリスク、それに対応するには予算と人員が足りないことを何度も伝えていた」と嘆き続けます。この光景は決して珍しいものではなく、企業にITというものが普及してから、何十年にもわたって繰り返されています。 しかし、こうした事態は「経営者の理解不足」や「担当者の説明能力不足」といった個人の問題としてとらえるべきではありません。むしろこの断絶は、日本企業が歩んできたIT活用の歴史そのものが生み出した構造的な欠陥なのかもしれません。 今回は、1990年代から現在までを振り返りながら、なぜ経営とセキュリティの距離がここまで広がってしまったのかを解説します。

武田 一城

株式会社ベリサーブ

2026/07/10

ランサムウェア被害時のフォレンジック調査はどう進む？ 費用・期間・対応…

もしも自社がランサムウェア被害にあったとしたら、はじめの24時間、48時間、そして復旧に至るまでには、誰に協力をあおぎ、どう対応するべきなのか――。 ランサムウェア被害時の対応と再発防止の成否を左右するのが、フォレンジック調査です。しかし、深刻なサイバー被害を経験したことがない企業では、フォレンジック調査が必要になることは認識していても、有事の具体的な対応方法や事前にとるべき準備等については整理できていないのが実情ではないでしょうか。 本記事では、調査の流れから、依頼時にすべきこと・避けるべきこと、平時にとるべき備えについて、フォレンジック・エンジニアと弁護士との共同チームによるフォレンジックサービスを提供するTMIプライバシー＆セキュリティコンサルティング株式会社 代表取締役の大井哲也弁護士と、フォレンジック・エンジニアの安島健太氏に聞きました。

2026/07/03

従業員による資料印刷・持ち出しの法的リスク クラウド環境・テレワーク下…

長瀨 佑志

弁護士法人長瀬総合法律事務所 弁護士

2026/06/19

UCCのCISOが語る、注目セキュリティ動向と取組み事例 「狙われたら終わり…

相次ぐランサムウェア被害や、内部不正、新たなサイバー攻撃手法などが世間を騒がせるなか、ICT・セキュリティ担当者は、国内・海外の最新のセキュリティ動向をどのように捉え、自社の対策にどう活かしていくべきなのでしょうか。 UCCジャパン株式会社でCISOを務める黒澤 俊夫氏は、2026年1月に開催された「Security Innovation Conference」において、注目する昨今のセキュリティトレンドを紹介したうえで、同社が進めている、グループガバナンスの強化、ICT基盤の再整備といった取組みについて講演しました。

2026/06/15

「セキュリティ対応組織の教科書」から紐解く、セキュリティ組織の構築方法と考え方

セキュリティ組織の作り方 SOC・CSIRTが機能しない理由とKPIにもとづく改…

昨今、ランサムウェア攻撃やサプライチェーン攻撃の高度化により、企業におけるセキュリティ対応体制の強化が急務となっています。しかし、「SOCやCSIRTを立ち上げたものの、期待した成果が出ない」といった課題に直面する企業は少なくありません。 こうした背景のもと、第1回・第2回では、日本セキュリティオペレーション事業者協議会による「セキュリティ対応組織の教科書」1 と、国際標準でもあるフレームワーク「ITU-T勧告X.1060」2 が、日本のセキュリティ現場の知見をベースにどのように成立したかという歴史を紐解きました。今やこれらの文書は、単なるガイドラインを越え、組織がサイバー脅威に立ち向かうための「標準言語」となっています。 本稿では、セキュリティ対応組織を、呼称にとらわれない「セキュリティ機能の集合体」として捉えたうえで、セキュリティ機能としての目標達成に向けた設計・運用の具体像を解説します。

河島 君知

株式会社NTTデータ先端技術 セキュリティ＆テクノロジーコンサルティング事業本部 セキュリティイノベーション事業部 担当部長

2026/06/03

徳丸浩氏が注目する最新インシデントと対策実務 「サイバー攻撃対策の早…

AIの急速な進化により、サイバー攻撃はかつてないほど巧妙化・低コスト化しています。もはや従来の対策だけでは、いつどこから侵害を受けてもおかしくありません。 セキュリティ分野に長年携わる、EGセキュアソリューションズ株式会社 取締役 CTOの徳丸 浩氏は「徳丸浩氏が注目する、実務影響が大きい2025年のインシデント」と題したオンラインセミナーにおいて、2025年に企業が直面したセキュリティインシデントを解説。セキュリティ担当者が実務に活かすべき教訓や、見直すべき対策などを語りました。

2026/06/02

MICIN – 現場起点で「やらされ感」なくす、役割別の3つのセキュリテ…

クラウド活用やリモートワークの定着をはじめ、企業活動の変化に伴うIT環境の変化により、企業を取り巻くセキュリティリスクはより多様かつ身近なものになっています。とりわけ医療や金融の分野では、機密性の高い情報を扱うことから、実効性のあるインシデント対応体制の整備が欠かせません。 オンライン診療サービスや通院専用キャッシュレスサービス、がん経験者向けの保険事業などを展開する株式会社MICINでは、フルクラウドかつハイブリッドワークの業務環境を前提に、 「アカウント管理の不備」「設定ミス」といった、自社にとって現実味のあるリスクへの対応力の強化を重視しています。 限られたリソースの中で、「事業部向け」「CSIRT向け」「全従業員向け」という3種類の訓練を設計し、一般社団法人 日本シーサート協議会が提供する枠組みなども活用しながら実効性の高いインシデント演習を実践している同社の取組みを紹介します。

2026/05/26

「セキュリティ対応組織の教科書」から紐解く、セキュリティ組織の構築方法と考え方

日本から世界に広がる「セキュリティ対応組織の教科書」で学ぶ、組織に必…

組織横断的なセキュリティ体制の構築が求められているなか、1つの指針として注目されているのが「セキュリティ対応組織の教科書」です。サイバーセキュリティに関する幅広い活動や業務を整理し、組織全体としてどう体制を実現するかの方針などを示しています。 本稿では、同書の具体的な構成要素や、世界各国の現場でどのように受け入れられ、どう進化を続けているのかを解説します。

武井 滋紀

SCSKセキュリティ株式会社 エバンジェリスト

2026/05/18