セキュリティ

2024年11月に開催されたInternet Week 2024では「脆弱性管理は必要不可欠だけど、どう進めればいいか分からない」という課題をテーマに、講演者や参加者同士で議論するBoFが開催された。

ガートナージャパンは、国内企業のランサムウェア対策状況に関する調査結果を発表した。マニュアルの整備、外部専門家への相談体制構築といった準備を進めている企業がある一方で、被害に遭った際の対応についてルール化されていない企業もあった。

Zscalerは、ゼロトラストの実装とサイバーインシデントの被害軽減に関する調査レポートを発表した。ゼロトラストの実践によって被害は抑制できるものの、企業規模や地域による効果に違いがあることが分かった。

サイバー攻撃は事業継続を脅かす経営課題となって久しい。サイバー攻撃の被害を招く主要な原因の一つにあるのが、対策可能なはずの「既知の脆弱性」だ。では、普通の組織は既知の脆弱性管理をどう始めればよいのか。日本シーサート協議会の脆弱性管理WGが「Internet Week 2024」で、脆弱性管理を始めるための4つのステップを解説した。

Microsoftは、2025年7月の月例セキュリティ更新プログラムを公開した。130件の脆弱性に対する修正が含まれており、中でも「Microsoft SQL Server」のゼロデイ脆弱性は公開前に情報が出ていたため、特に早急な対応が必要だ。

2025年6月2日、ITmedia Security Week 2025 春の『人材不足、スキル不足を解決する「セキュリティ運用自動化」』ゾーンで、GMOサイバーセキュリティ by イエラエ 執行役員の阿部慎司氏が「セキュリティ運用自動化の3つの要点と実例　〜省力化・安定化・拡張化〜」と題して基調講演に登壇した。積極的にセキュリティの第一人者を集めている同社で、阿部氏はどのような方向性で“自動化”について考えているのだろうか。

2025年5月27日、ITmedia Security Week 2025 春の「セキュリティを再構築するための“ゼロトラスト”」ゾーンで、トライコーダ 代表取締役 上野宣氏が「攻防を変える！現場視点のゼロトラスト」と題して基調講演に登壇。ゼロトラストの概要、移行の必要性、具体的なロードマップ、移行における課題と解決策について詳細に解説した上で、限られたリソースで現実的に移行を進める方法を共有した。

ITmedia Security Week 2025 冬で、フリー 常務執行役員CISOの茂岩祐樹氏が「セキュリティの防御効率を高めるために持つべき視点」と題して講演。freeeでは、攻めの視点からセキュリティを担当するレッドチームを持ち、本格的な演習を内外にもアピールしている。茂岩氏が自社環境の特徴を考慮した防御システムの導入、その有効活用の際に持つべき視点を語った講演の内容を要約する。

IBMは2025年6月18日、AIエージェントのガバナンスとセキュリティを統合管理できるソフトウェアを発表した。企業がAIのリスクを可視化し、より安全かつ責任あるAI運用を実現できるようにするための機能を提供する。

IPAは「情報セキュリティ 10大脅威2025」の解説書を公開した。「個人編」に加えて「組織編」も用意されている。

Dockerは、「The 2025 Docker State of Application Development Report」の中から、セキュリティに関する調査結果の概要を抜粋し、ブログで紹介した。

ソフトクリエイトは2025年6月12日、サーバやネットワーク機器の脆弱性を診断するサービス「SCSmart プラットフォーム診断」の提供を開始した。1つのIPアドレスから診断可能で、外部公開資産から内部サーバまで幅広く対応するという。

チェック・ポイント・ソフトウェア・テクノロジーズは、2025年第1四半期のグローバルサイバー攻撃レポートを発表した。サイバー攻撃の件数は増加し、中でもランサムウェア攻撃件数が急増した。

IPAは2025年5月27日、「2024年度 中小企業における情報セキュリティ対策に関する実態調査」の報告書を公開した。これは情報セキュリティ対策への取り組みや被害状況、対策実施における課題、取引先を含むセキュリティ対策の状況などを調査した結果をまとめたものだ。

Omdiaは、企業のセキュリティ運用に関する見解を発表した。傘下の調査会社Enterprise Strategy Groupが実施した調査結果から、企業のセキュリティ運用が転換期を迎えていることが分かったという。

サイリーグホールディングスは2025年5月20日、S＆J 三輪信雄氏のエグゼクティブ・アドバイザー就任、2025年7月から事前契約型のインシデント対応サービスを提供することを発表した。サイリーグホールディングス エグゼクティブ・フェローの徳丸浩氏は「最新のサイバー脅威と求められる対策」と題して講演した。

2025年3月10日、ITmedia Security Week 2025 冬で、日本サイバーディフェンス シニアエグゼクティブアドバイザー（2025年5月より「最高技術責任者」） 名和利男氏が「攻撃戦略の理解に基づく対策の (自動⊙(最適⊙重点)) 化」と題して講演した。

メールアドレスがWeb上の情報漏えいの影響を受けているかどうかを無料でチェックできるWebサービスの新バージョン「Have I Been Pwned 2.0」が稼働を開始した。

2025年3月4日、ITmedia Security Week 2025 冬で、ポッドキャスト「セキュリティのアレ」でおなじみの根岸征史氏、辻伸弘氏、piyokango氏が登壇。「対象領域は明らかにしないといけないから」と題して、議論を交わした。

ファストリーは2025年5月20日、企業の最高情報セキュリティ責任者の説明責任に関する調査結果を発表した。それによると「セキュリティインシデントに関する最終責任者が不明確」という企業が37％あった。

IBMは2025年4月17日、「2025 X-Force Threat Intelligence Index」を発表した。2023年と比較してランサムウェアのインシデントは減少傾向にある一方、認証情報を窃取する攻撃が急増している。

Microsoftは2025年5月の月例セキュリティ更新プログラムを公開した。Windows 11をはじめ、利用者が多いと想定される製品で「緊急」扱いの更新プログラムが含まれるため、Microsoftは早急に更新プログラムを適用するよう呼び掛けている。

ガートナージャパンは、ゼロトラストの最新トレンドを発表した。クラウドへの移行や「マシンID」の台頭など、企業が直面する課題と対策の重点領域を明らかにした。

ゼットスケーラーは「2025年版 Zscaler ThreatLabz AIセキュリティ レポート」を公開した。それによると、企業によるAI／MLツールの使用が対2023年比で3000％以上増加していることが明らかになった。

EGセキュアソリューションズは「SiteGuard セキュリティレポート（2025.1Q）」を発表した。それによると、特定の攻撃手法が突出して増加傾向にあり、特に教育機関で被害が出ていることが分かった。

Kasperskyは2025年4月2日、「ポリグロット手法」について解説するブログエントリを公開した。ポリグロット技術を使ったファイルは、ユーザーには画像など無害なものに見えるが、実際には内部に悪意のあるコードが含まれている。

Fortinetは、同社のファイアウォール「FortiGate」に搭載するOS「FortiOS」の最新バージョン「FortiOS 7.6.3」から、「SSL VPNトンネルモード」のサポートを終了すると発表した。

ガートナージャパンは、企業のセキュリティオペレーションで実施すべきAIへの4つのアプローチを発表した。限られたリソースを有効活用するためにAIは有用だが、自社に適したものを選定するにはチームとして取り組むことが重要だという。

2025年3月4日に開催されたITmedia Security Week 2025 冬の「アタックサーフェス」セクションで、イー・ガーディアングループ CISO 兼 EGセキュアソリューションズ 取締役 CTOの徳丸浩氏が『アタックサーフェスが「いまさら」注目されている理由とは』と題して講演した。

CVE Foundation（CVE財団）の設立が発表された。設立目的は、「25年間にわたって世界のサイバーセキュリティインフラの重要な柱として機能してきたCVEプログラムの長期的な存続性、安定性、独立性を確保する」ことだ。

LRMは、標的型攻撃メール訓練に関する調査結果を発表した。調査結果からは、一度の訓練では従業員の「報告意識」を高めることは難しいものの、ある回数を超えると大幅に不審メール報告率が向上することが分かった。