「NIST」関連の最新 ニュース・レビュー・解説 記事 まとめ

Cybersecurity Dive：
狙われるIvanti製VPN　約900件のインスタンスがゼロデイを未修正
The Shadowserver Foundationは、VPN製品「Ivanti Connect Secure」にはゼロデイ脆弱性が存在し、約900件のインスタンスが未修正で、攻撃の危険性があると指摘した。（2025/1/22）

ITmedia エグゼクティブセミナーリポート：
自らも直面した、想定外のリスク、想定外に備える鍵は、実効的なマニュアル整備と定期的な訓練――コンサルタント 結城則尚氏
今や、ITシステムが社会基盤化し、世の中の動きにサイバーセキュリティが関連している。こうした中で重要なのは、変化に柔軟に対応し、万一の場合にも対処できる事態対処能力を高めることだ。（2025/1/21）

Cybersecurity Dive：
BeyondTrust製品に複数の脆弱性　12月に起きたサイバー攻撃との関連は？
BeyondTrustは2024年12月、攻撃者が侵害されたAPIキーを利用して、限られた数のリモートサポート用のSaaS型インスタンスにアクセスしたと警告した。Censysによると同製品に関連する8600件以上のインスタンスが依然として露出しているという。（2025/1/18）

Cybersecurity Dive：
Apache Struts2にCVSS 9.5の脆弱性　影響は広範囲に及ぶ恐れ
Apache Struts2にCVSS 9.5の重大な脆弱性が見つかった。この脆弱性を含んだバージョンは合計で4万回ダウンロードされており、広範囲での影響が懸念される。（2025/1/18）

NTTコムが次世代暗号技術　量子コンピュータに対抗
NTTコミュニケーションズは1月15日、量子コンピュータでも解読できない暗号技術を開発したと発表した。量子コンピュータが不得意な計算方法を使った暗号を複数組み合わせて情報漏えいを防ぐ。（2025/1/17）

海外医療技術トレンド（115）：
第2次トランプ政権下のゲノムデータ管理とプライバシー強化技術
本連載第95回で、米国におけるゲノムデータのサイバーセキュリティ対策を取り上げたが、バイデン政権から第2次トランプ政権への移行期間中も、さまざまな法令、ガイダンス案が公表されている。（2025/1/17）

Gartner Insights Pickup（384）：
エンタープライズAIガバナンスにおける統合アプローチの重要性
企業がAIシステムを本格運用に移行する中、持続的な成功を確保するには、効果的なガバナンスが重要になる。エンタープライズAIガバナンスは、領域横断的な適応型アプローチだ。これにより、規制や企業のコンプライアンス要件を満たしながら、生産性の向上やカスタマーエクスペリエンスの改善など、AIの適用による効果を享受できる。（2025/1/17）

セキュリティニュースアラート：
OpenVPNに「緊急」の脆弱性　急ぎ修正済みバージョンへの更新を
NISTからOpenVPNの脆弱性「CVE-2024-5594」のデータが公開された。CVSSスコアは9.1で深刻度「緊急」（Critical）と評価されている。修正済みバージョンへのアップデートが求められる。（2025/1/14）

クラウドセキュリティ予算取りのこつ【前編】
クラウドセキュリティ予算確保の鉄則とは？　経営層を動かす必勝パターン
クラウドサービスの安全利用に欠かせないクラウドセキュリティ。その予算を確保するためには、どのような工夫が必要なのか。重要なポイントをまとめた。（2025/1/14）

ITmedia Security Week 2024 秋：
“ゼロトラスト”とトラスト（信頼性）ゼロを分かつものとは――情報セキュリティ啓発アニメ「こうしす！」監督が中小企業目線で語る
2024年11月26日、アイティメディア主催のオンラインセミナー「ITmedia Security Week 2024 秋」の「ゼロトラストセキュリティ」ゾーンで、京姫鉄道 代表社員CEOの井二かける氏が『ゼロトラストで万事解決？「信頼性ゼロ」にならないために』と題して講演した。（2025/1/8）

PR：安心のセキュリティ対策でビジネスを守る　HPのAI PC
（2025/1/6）

Cybersecurity Dive：
ファイル転送ソフト「Cleo」にゼロデイ脆弱性　大規模に悪用を観測済み
ファイル転送ソフトウェア「Cleo」に重大なゼロデイ脆弱性が見つかった。既に大規模な悪用がされており、消費者製品および食品産業、トラック運送業、海運業を中心に少なくとも10社での被害が報告されている。（2024/12/26）

実施率が低いセキュリティ対策トップ10を発表：
3割程度のSaaS事業者が標準的なセキュリティ対策をしていない　アシュアードがSaaS事業者を調査
アシュアードは、クラウドサービス事業者の実施率が低いセキュリティ対策のトップ10を発表した。高度な攻撃に対するセキュリティ強化策やレジリエンス対策、利用企業のデータの適正管理に関する項目などが上位を占めた。（2024/12/25）

ファイアウォールの正しい使い方【後編】
「ファイアウォールのテスト」を怠ってはいけない“端的な理由”
ファイアウォールはネットワークの守りの要だが、設定ミスによって意図しない通信を遮断したり、不正な侵入を通したりするリスクがある。ファイアウォールのテストがなぜ不可欠なのかを解説する。（2024/12/25）

本当に必要なAIスキル習得方法【前編】
「AI資格」は取る価値ある？　“本当に使える資格”の見極め方
AI認定資格の取得は本当にキャリアに役立つのか、懐疑的な意見がある。AI認定資格のメリットとデメリットについて触れ、適切なAI認定資格の選び方について説明する。（2024/12/20）

ポスト量子時代の現状と課題：
商用国家安全保障アルゴリズム（CNSA）の期限となる2030年までに暗号化／キー管理サービス市場が60億ドルに達するとABI Researchが予測　急成長の要因とは？
調査会社のABI Researchは、2024年に15億ドルだった世界のキー管理サービス（KMS）市場は、2030年までにおよそ60億ドルに成長するという予測を発表した。（2024/12/18）

海外医療技術トレンド（114）：
第2次トランプ政権で米国の医療IoT／OTセキュリティ規制はどうなるのか
米国会計検査院（GAO）は、IoTやOTのサイバーセキュリティに関する報告書および勧告を通じて、保健福祉省や食品医薬品局による取り組みの改善状況をチェックしている。2025年から第2次トランプ政権が始まるが、GAOの勧告も併せて米国の医療IoT／OTセキュリティ規制の動向に注目が集まる。（2024/12/13）

セキュリティソリューション：
タニウムはAIで“自律型イノベーション”を起こす　「Tanium AEM」の設計思想とは
IT資産全般を一元的に可視化して制御・修復するXEM（コンバージドエンドポイント管理）製品を提供するタニウムが、自動化やAIなどを活用して、より能動的かつ自律的に端末を管理するTanium AEMについて解説した。（2024/12/11）

セキュリティニュースアラート：
情報セキュリティ測定の新指針　NISTが特別刊行物の最終版を発行
NISTが情報セキュリティ測定に関する包括的なガイド「SP 800-55v1およびv2」の最終版を公開した。これらのガイドは組織が情報セキュリティ施策の成果を評価し、意思決定を支援する。（2024/12/10）

ITmedia エグゼクティブセミナーリポート：
2030年問題で解決はいよいよ困難になるサプライチェーンリスクへの処方箋は――NRIセキュアテクノロジーズ 足立道拡氏
技術革新に伴ってビジネス連携が広範化し、企業間のつながりが多様化。つながるビジネスによって、アタックサーフェス、攻撃対象領域が広がり、セキュリティ担当者が警戒すべき領域が拡大している。（2024/12/10）

CIO Dive：
もし自社が「何でも生成AI」症候群にかかったら？　CIOがとるべき行動
生成AIはさまざまな分野で生産性向上や効率化を実現する。しかし、生成AIなら何でもできると思ったら大間違いだ。それ以外の技術の方が適している領域も多々あるので、流行りだからといって生成AIを盲信してはいけない。（2024/12/9）

ゼロデイ脆弱性を悪用した攻撃が増加：
2023年に最も頻繁に悪用された脆弱性トップ15　米CISAが発表　ソフトウェアベンダー、エンドユーザーができることは？
CISAは、2023年に日常的に悪用された脆弱性トップ15をまとめた「2023 Top Routinely Exploited Vulnerabilities」を発表した。ソフトウェアベンダーやエンドユーザー向けの緩和策を紹介している。（2024/12/4）

セキュリティニュースアラート：
無償で使える脆弱性対応プラットフォーム「Intel」が登場　その性能とは？
Intruder Systemsは無償の脆弱性インテリジェンスプラットフォーム「Intel」を公開した。過去24時間の脆弱性情報を分析し、セキュリティチームが迅速に対応できるよう支援する。（2024/11/28）

Cybersecurity Dive：
Palo Alto Networks製品「Expedition」の脆弱性で悪用を確認　アップデートできない場合の回避策は
CISAはPalo Alto Networksの移行ツールである「Expedition」に関連した2件の脆弱性が攻撃者によって積極的に悪用されていると警告した。ユーザーは直ちにアップデートを適用することが推奨されている。（2024/11/28）

Cybersecurity Dive：
Citrix Session Recordingに重大な脆弱性　研究者とCitrixで食い違う主張
watchTowrのセキュリティ研究者たちはCitrix Session Recordingの脆弱性を発見した。研究者らは攻撃者が認証なしでアクセスできると主張しているが、Citrixはこの主張に異議を唱えている。（2024/11/27）

Cybersecurity Dive：
パッチ適用も効果なし？　Veeam製品を悪用したランサムウェア亜種を確認
複数のランサムウェアの亜種がVeeam製品の重大な脆弱性を標的にしており、悪用のリスクが高まっている。共通脆弱性評価システム（CVSS）における同脆弱性のスコアは9.8だ。Veeamによるパッチ適用も効果が薄い可能性もある。（2024/11/23）

AIがよく分かる「機械学習の歴史」【第4回】
「身近なAI」の基礎を築いた転換期　2024年ノーベル賞受賞者も発展に一翼
20世紀末から21世紀初頭にかけて、機械学習をはじめとするAI技術は急速な進化を遂げ、世間の関心を集めることとなった。現代の「AIブーム」の基盤がどのように築かれたのか、主要なブレイクスルーを解説する。（2024/11/22）

端末管理とセキュリティ管理を一元化：
PR：「リアルタイムの端末管理」は理想論ではない――「Tanium」のテクノロジーと特許技術を解き明かす
非管理端末（野良端末）の状態をリアルタイムで把握して健全性を維持する「サイバーハイジーン」は重要な考え方だが、実現するのは難しい。「そんなテクノロジーはない」という声も聞こえてくるが、端末管理とセキュリティ管理を一元化できるソリューションはもう既に存在している。それをどう使うかにかかっているのだ。（2024/12/3）

脅威を未然に防ぐための先行指標とは：
Google Cloudがサイバーフィジカルシステムのレジリエンスを高める10の指標を解説　最初にすべきことは？
Google Cloudはホワイトハウスの新しいレポートの分析に基づいて、サイバーフィジカルシステムを改善するための10の主要な指標を紹介するブログエントリを公開した。（2024/11/21）

生成AI用セキュリティポリシーの作り方【前編】
「生成AI」活用で見落としがちな盲点とは？　今すぐ始めるセキュリティ対策
従業員による生成AIの無秩序な利用が、企業の情報漏えいや知的財産権侵害を引き起こす恐れがある。生成AIに関するセキュリティポリシーを確立し、適切な管理体制を構築することは急務だ。どこから手を付けるべきか。（2024/11/21）

ランサムウェア被害対応の専門家とpiyokango氏が議論：
増える標的型ランサムウェア被害、現場支援から見えてきた実態と、脆弱性対応が「限界」の理由
ランサムウェア感染をはじめとするサイバー攻撃に日頃からどう備えておくべきなのか。年間数百件の相談に対応してきたYONAの三国貴正氏や、セキュリティブログ「piyolog」で知られるpiyokango氏が、現実的で実効性のあるインシデント対応をどう進めるべきか、語り合った。（2024/11/22）

Cybersecurity Dive：
脆弱性の“爆増”が止まらない、悪用も約3倍に増加　対処法はあるか？
信用格付機関のS＆Pは数千社の企業を分析し、2023年に脆弱性の悪用が約3倍に増加したと伝えた。脆弱性の数自体も増大し続けており、企業には急ぎ対処が求められている。（2024/11/12）

Cybersecurity Dive：
CiscoのVPN製品にDoS攻撃を引き起こす脆弱性　積極的な悪用を確認済み
CiscoのVPN製品にDoS攻撃を引き起こす脆弱性が見つかった。既にこの脆弱性は積極的に悪用されていることが分かっている。この他のVPN製品についても脆弱性を狙った攻撃が増加しており注意が必要だ。（2024/11/11）

Cybersecurity Dive：
SonicWall製品に潜む脆弱性が、ランサムウェア活動のアクセスポイントになっている
Arctic Wolf Labsの研究者によると2024年8月以降、SonicWallのファイアウォール製品は少なくとも30件のランサムウェア攻撃における初期のアクセスポイントになったという。（2024/11/11）

Cybersecurity Dive：
Fortinetが重大なゼロデイ脆弱性「CVE-2024-47575」を公開　顧客に警告
Fortinetはネットワークおよびセキュリティ管理ツール「FortiManager」のゼロデイ脆弱性が広く悪用されているとし、顧客に注意を促している。（2024/11/10）

セキュリティニュースアラート：
ゼロトラストセキュリティ導入の課題とは？　IIJの調査結果から読み解く
IIJは国内企業のゼロトラストセキュリティに関する調査結果を発表した。国内企業の多くがゼロトラストの必要性を感じている一方で、導入には幾つかのハードルがあることが判明した。（2024/11/8）

セキュリティニュースアラート：
X.Org Serverに特権昇格の脆弱性　Linuxユーザーは要注意
X.Org Serverの脆弱性「CVE-2024-9632」が米国NVDに登録された。この脆弱性を悪用すると、DoS攻撃や特権昇格を実行できる可能性がある。X.Org ServerはLinuxユーザーに広く利用されているため早急に対処したい。（2024/11/6）

月間セキュリティニュース：
イセトーのランサムウェア被害、その侵入経路は？【セキュリティニュースまとめ】
2024年10月は、VMware製品に関する脆弱性情報や新たなマルウェア、イセトーのランサムウェアの被害報告書の公開など多くのニュースが公開された。話題になったニュースをあらためて振り返ろう。（2024/11/1）

AIリスク対策は「2階建て」？：
AIチャットを全社活用している竹中工務店は生成AIの「ブレーキにはならない」インシデント対策を何からどう進めたのか
業務の効率化や自動化を目的に生成AIの活用の模索が進んでいる。一方で、企業で生成AIを活用する場合はそのリスクとも向き合う必要がある。竹中工務店の鈴木真徳氏が、現在の生成AIリスクをコントロールしながらAI活用を推進する同社の取り組みを紹介した。（2024/10/29）

セキュリティニュースアラート：
セキュリティにおける最重要課題とは何か？　約9割が回答した“アレ”
Kaseyaは「Kaseya Cybersecurity Survey Report 2024」を公開し、サイバーセキュリティに関する調査結果を報告した。同調査から世界のITプロフェッショナルたちが最も懸念しているサイバーセキュリティの課題が明らかになった。（2024/10/25）

「テクノロジーがない」は言い訳にならない：
PR：「野良端末の撲滅に取り組んでいます」という企業の“根本的な誤解”
「当社は“野良端末”の撲滅に取り組んでいます」――こう胸を張る企業の中には「やったつもりになっている」だけのケースがある。サイバー攻撃の起点になる野良端末の対処にありがちな“根本的な誤解”を解き明かすと、有効な対策が見えてくる。（2024/10/24）

Cybersecurity Dive：
Ivanti CSAに3件のゼロデイ脆弱性　リモートコード実行が可能になるため注意
Ivantiのインターネットアプライアンス「Ivanti Cloud Service Appliance」に3件のゼロデイ脆弱性が見つかった。これらを悪用すると、攻撃者は管理者権限を得て制限を回避したり、リモートでコードを実行したりできる。（2024/10/20）

半径300メートルのIT：
ドコモSIM回収騒動の裏で詐欺師が暗躍？　考えられる悪意あるシナリオ
NTTドコモが提供するSIMカードの一部で通信不良が発生することが判明し、回収騒動となっています。ドコモユーザーは今利用しているSIMが該当するかどうかをまず確認しましょう。今回はこの騒動に乗じて詐欺師たちがどんな攻撃を仕掛ける可能性があるかを考えます。（2024/10/15）

米NISTと共同でプロファイル作成：
SEMIが半導体製造向けサイバーセキュリティ戦略を強化
SEMIが、半導体業界向けのサイバーセキュリティ戦略を強化する。米NIST（国立標準技術研究所）と協力し、「NIST サイバーセキュリティフレームワーク 2.0」の半導体製造業界プロファイルを作成するという。（2024/10/15）

Cybersecurity Dive：
Log4jの再来？　CUPSの脆弱性はなぜそこまで過大評価されたのか
UNIX系の印刷システム「CUPS」の致命的な脆弱性は、発見当初は2021年に見つかったApache Log4jの脆弱性と比較されるものと懸念されていたが、調査が進み「そこまでではない」と判断された。なぜそこまで過大評価されたのか。（2024/10/13）

Cybersecurity Dive：
企業がOSSメンテナーに“ただ乗り”　この風潮はいつ是正されるのか？
オープンソースソフトウェアの開発者と企業をはじめとしたソフトウェアユーザーとの間には、依然として格差が存在している。ソフトウェアユーザーが高いセキュリティ基準を求める一方で必要な投資をしないため、この風潮は変わっていない。（2024/10/12）

海外医療技術トレンド（112）：
2028年ロサンゼルス五輪は先進医療機器技術の万博になる!?
本連載第100回で、2024年パリ夏季オリンピック・パラリンピック競技大会におけるAI戦略動向を取り上げたが、既に4年後の2028年ロサンゼルスオリンピック・パラリンピック大会に向けて、新たな動きが始まっている。（2024/10/11）

量子コンピュータ：
量子コンピュータによる暗号解読に備えを、耐量子計算機暗号の現在地
日本IBMが耐量子計算機暗号の標準化の概況や取り組みについて説明した。（2024/10/9）

移行先の検討で留意すべきこと：
PR：IT部門が頭を抱える「CentOS終了問題」　なぜ企業は後継OSに「AlmaLinux」を選ぶのか
無償のLinuxディストリビューションである「CentOS」の更新が2024年6月に終了した。そのまま使い続けるとセキュリティリスクになるが、有償の「Red Hat Enterprise Linux」への移行は検証も含め、コスト面で課題があるケースも多い。日本語サポートも欲しいところだ。現実的な移行先を解説する。（2024/10/9）

Innovative Tech：
“パスワード変更”をユーザーに定期的に要求はダメ　米国政府機関が発表　「大文字や数字を入れろ」の強制もNG
米国立標準技術研究所（NIST）が、組織はユーザーに定期的なパスワード変更を要求してはならないという内容を含めた新しいガイダンスを発表した。（2024/10/7）