はてなブックマーク

独立行政法人情報処理推進機構（IPA、理事長：齊藤裕）は、「2024年度 中小企業における情報セキュリティ対策に関する実態調査」報告書を公開しました。今回公表する資料では、「2024年度中小企業等実態調査」全体の報告書を取りまとめるとともに、中小企業が実際に行っている対策や効果が見られた対策のポイントを報告します。 「2024年度 中小企業における情報セキュリティ対策に関する実態調査」報告書について 背景・目的 近年、サプライチェーン上の弱点を狙って、攻撃対象への侵入を図るサイバー攻撃が顕在化・高度化しています。サプライチェーンを構成する中小企業等がサイバー攻撃に対する対策が不十分である場合、当該企業等の事業活動に支障が生じ得ることに加えて、重要情報の流出や、製品/サービスの供給停止など、取引先事業への影響や、当該企業を踏み台にして取引先が攻撃されるおそれ等があります。 このような状況を踏

トップページ 情報セキュリティ 重要なセキュリティ情報 2025年度 「Active! mail」におけるスタックベースのバッファオーバーフローの脆弱性について（JVN#22348866） 注釈：最新情報は、JVN(JVN#22348866)をご覧ください。 概要 株式会社クオリティアが提供する「Active! mail」は、ウェブメールシステムです。 「Active! mail」には、スタックベースのバッファオーバーフローの脆弱性（CVE-2025-42599）が存在します。 本脆弱性を悪用された場合、遠隔の第三者によって細工されたリクエストを送信され、任意のコードを実行されたり、サービス運用妨害（DoS）状態を引き起こされたりする可能性があります。 同脆弱性を悪用する攻撃がすでに確認されているため、できるだけ早急に、製品開発者が提供する情報をもとに、最新版にアップデートしてください。

概要 近年、大企業のみならず中小企業においてもサイバー攻撃の脅威にさらされている状況です。組織においてセキュリティインシデントが発生した場合には、被害とその影響範囲を最小限に抑えて事業継続を確保する必要があります。その為には、予めの対応体制と手順を整備したうえで、実際にセキュリティインシデントが発生した場合を想定して演習しておくことが重要です。 こうした背景を踏まえ、IPAは中小企業を対象としたセキュリティインシデント対応机上演習を開催していますが、より多くの組織に机上演習を実施いただけるようにするため、演習教材と演習実施のためのマニュアルを公開することとしました。セキュリティ意識向上と対策強化にご活用ください。 教材について 本教材は、ランサムウェア感染のインシデントシナリオを使用して、インシデント対応の一連の流れを机上で演習する教材（パワーポイント）とその実施マニュアルです。 教材は一

AIシステムに対するレッドチーミング手順を詳細に解説 AIセーフティ・インスティテュート（AISI、所長：村上明子）は、2024年９月に公開した「AIセーフティに関するレッドチーミング手法ガイド」について、具体的な実施例を通してより詳細に理解できるよう改訂しました。RAG（Retrieval-Augmented Generation）の仕組みを実装したAIシステムに対して実際にレッドチーミングを行い、その手順を詳細に解説するとともに、レッドチーミング実施の成果物を文書としてとりまとめています。 AIセーフティに関するレッドチーミング手法ガイド 概要 AIシステムの悪用や誤用、不正確な出力による懸念などが生じ、AIセーフティ（注釈1）についての関心が国内外で高まりつつある中、AISIでは2024年9月に「AIセーフティに関するレッドチーミング手法ガイド」を公開しました。このガイドは、AIシス

IPAでは企業組織向けに、セキュリティインシデントに関する相談や、ウイルス・不正アクセス・脆弱性情報に関する届出を受け付ける窓口を設けております。セキュリティインシデント等が発生した際などにご活用いただくことができます。 連絡先に迷った場合は、以下の＜1. 企業組織向けサイバーセキュリティ相談窓口>にご連絡ください。 1. 企業組織向けサイバーセキュリティ相談窓口 1-1. 受付可能な相談内容 各種インシデント発生時の初動対応に関する相談 起きている事象をヒアリングして、被害が発生しているか否かを判断します。 被害が発生している場合、有効な応急処置についてご案内します。 インシデント対応を行う専門業者一覧の紹介をします。 他に必要な相談・報告先等の紹介をします。 ご相談いただく事案の調査や解析の実施は対応しておりません。 標的型サイバー攻撃に関するインシデント相談 国家支援型と推定される標

情報セキュリティ 10 大脅威 2025 組織編 ～どこから攻撃されても防御ができる十分なセキュリティ対策を～ 2025 年 2 月 本書は、以下の URL からダウンロードできます。 「情報セキュリティ 10 大脅威 2025 組織編」 https://www.ipa.go.jp/security/10threats/10threats2025.html 目次 はじめに......................................................................................................................................................... 4 情報セキュリティ 10 大脅威 2025.....................................

独立行政法人情報処理推進機構（IPA、理事長：齊藤裕）は、「2024年度中小企業における情報セキュリティ対策の実態調査報告書」の速報版(本プレスリリース)を公開しました。サプライチェーン全体でのサイバーセキュリティの不備が、取引先にも深刻な影響を及ぼしていることが明らかになりました。詳細な報告書は４月頃にIPAのウェブサイトで公開予定です。 背景 近年、サプライチェーン上の弱点を狙って、攻撃対象への侵入を図るサイバー攻撃が顕在化・高度化しています。サプライチェーンを構成する中小企業等がサイバー攻撃に対する対策が不十分である場合、当該企業等の事業活動に支障が生じ得ることに加えて、重要情報の流出や、製品/サービスの供給停止など、取引先事業への影響や、当該企業を踏み台にして取引先が攻撃されるおそれ等があります。IPAでは、2016年度と2021年度に「中小企業における情報セキュリティ対策に関する

独立行政法人情報処理推進機構（IPA、理事長：齊藤裕）は、一般的なデータ利活用だけでなく、異なる組織・異業種間でデータを共有する「データスペース」の利用手順やその内容を解説した「データ利活用・データスペースガイドブック」を改訂し、第2.0版として公開しました。 データスペースの推進 背景 本書は、2024年11月に公開した「データ利活用・データスペースガイドブック第1.0版」（脚注）の改訂版です。第1.0版は、「データ利用者編」として、事業にデータを利活用したい者を「データ利用者」と定義し、組織における活用までの具体的な手順、経営層や担当者が「すべきこと」を8つのフェーズに分けて解説しました。 本日公開した第2.0版では、データを提供したい者を「データ提供者」と定義し、データを提供するために経営層や事業部門やIT部門が「すべきこと」を第1.0版と同様に８つのフェーズに分けて解説しています。

情報セキュリティ10大脅威 2025 [組織編] 60ページ(PDF:2.9 MB) 情報セキュリティ10大脅威 2025 [個人編]（5月末公開予定） 情報セキュリティ10大脅威 2025 情報セキュリティ10大脅威の活用法 [組織編] 13ページ(PDF:2.0 MB) 情報セキュリティ10大脅威 2025 情報セキュリティ10大脅威の活用法 [個人編]（5月末公開予定） 情報セキュリティ10大脅威 2025 セキュリティ対策の基本と共通対策 20ページ(PDF:996 KB) 情報セキュリティ10大脅威 2025 知っておきたい用語や仕組み（6月末公開予定） 「情報セキュリティ10大脅威 2025」簡易説明資料（スライド形式） 情報セキュリティ10大脅威 2025 [組織編]（3月末公開予定） 情報セキュリティ10大脅威 2025 [個人編]（一般利用者向け）（6月末公開予定） 10

独立行政法人情報処理推進機構（IPA、理事長：齊藤裕）は、情報セキュリティにおける脅威のうち、2024年に社会的影響が大きかったトピックを「情報セキュリティ10大脅威 2025」として公表しました。詳しい解説は、2月下旬以降、順次IPAのウェブサイトで公開する予定です。 情報セキュリティ10大脅威 2025 IPAでは、情報セキュリティ対策の普及を目的として2006年から、前年に発生した情報セキュリティ事故や攻撃の状況等を「情報セキュリティ10大脅威」として公表しています。本日公表した内容はIPAが脅威候補を選定し、情報セキュリティ分野の研究者、企業の実務担当者など約200名のメンバーで構成する「10大脅威選考会」の投票を経て決定したものです。「組織」の立場と「個人」の立場での「10大脅威」はそれぞれ以下のとおりです。

想定読者 本書ではSBOMの導入・運用を主導する部門を主な対象読者として想定しています。また、SBOMを知らない組織をはじめ、導入に課題を抱えている組織、導入後に活用できていない組織など、幅広い組織層を対象としています。 本書の構成 第1章 背景と目的 第2章 SBOMの概要 第3章 SBOM導入・運用に関する基本指針 第4章 環境構築・体制整備フェーズにおける実施事項 第5章 SBOM作成・共有フェーズにおける実施事項 第6章 SBOM運用・管理フェーズにおける実施事項 第7章 まとめ Appendix ダウンロード SBOM導入・運用の手引き(PDF:3.0 MB) 更新履歴 2024年12月20日

多くの人が年末年始の長期休暇を取得する時期を迎えるにあたり、IPAが公開している長期休暇における情報セキュリティ対策をご案内します。 長期休暇の時期は、システム管理者が長期間不在になる等、いつもとは違う状況になりがちです。このような状況でセキュリティインシデントが発生した場合は、対応に遅れが生じたり、想定していなかった事象へと発展したりすることにより、思わぬ被害が発生し、長期休暇後の業務継続に影響が及ぶ可能性があります。 このような事態とならないよう、(1)個人の利用者、(2)企業や組織の利用者、(3)企業や組織の管理者、それぞれの対象者に対して取るべき対策をまとめています。また、長期休暇に限らず、日常的に行うべき情報セキュリティ対策も公開しています。 長期休暇における情報セキュリティ対策 日常における情報セキュリティ対策 注釈：上記リンク先において、対象者毎に参照すべき範囲は以下のとおり

パソコンに偽のウイルス感染警告を表示させるサポート詐欺に注意 - 「今すぐ〇〇に電話してください」は偽物、絶対に電話をしないで！ - IPAではサポート詐欺に関する注意喚起をこれまでも継続的に実施してきました。 （参考：2021年 安心相談窓口だより） 手口や対処・対策について、これまでと大きな変化はありませんが、相談件数や画像などを現時点での内容に更新して公開いたします。 1. 概要と相談受付状況 パソコンでウェブサイトを閲覧中に、突然パソコンがトロイの木馬などのウイルスに感染しているという警告が出ることがあります。画面一杯に広がった警告には「今すぐ〇〇のサポートに電話してください」と書いてあります。加えて、警告音が鳴りやまず不安をあおることがあります。この場合、表示された警告は「偽のセキュリティ警告」の可能性が非常に高いです。パソコンのウイルス感染はおきていません（図1）。 電話をかけ

データスペースアカデミーでは、データ活用に関わる全ての方、例えばデータを活用したビジネス戦略を検討される経営者の方、データを活用するシステムの設計や運用を行う技術者で設計方針を知りたい方など様々な方へ幅広い資料をご提供しています。 経営者・CDOの方向け読本

独立行政法人情報処理推進機構（IPA、理事長：齊藤裕）は、一般的なデータ利活用だけでなく、異なる組織・異業種間でデータを共有する「データスペース」の利用手順やその内容を解説した「データ利活用・データスペースガイドブック第1.0版」を公開しました。データをサービス展開などの事業に活用したい企業の経営層・CDO（Chief Data Officer: 最高データ責任者）や事業部門、IT部門の担当者が参照することで、経営戦略策定からIT戦略・企画策定、データスペースの運用、評価までの8フェーズを包括的に理解し、実施することができます。 データスペースの推進 背景 社会や経済のデジタル化が進む中、蓄積された「データ」は「資産」として製品やサービスの質を高め、新しいビジネスモデルや価値を創出するための鍵となっています。また、異なる組織間のデータ共有の促進、データ主権の保護、信頼性の高いエコシステムの

2025年10月14日（米国時間）に、Windows 10のサポートが終了します。 サポート終了後はセキュリティ更新プログラムの提供がなくなり、セキュリティリスクが高まります。 同ソフトウェア製品の利用者においては、サポートが継続している後継製品、または代替製品への移行などの対応が望まれます。また、OSだけでなく、対象OS上で稼働するアプリケーションもサポートが順次終了していくため、あわせて対策が必要です。 概要 2025年にMicrosoft社が提供しているOSであるWindows 10のサポートが終了します。一般的にサポート終了後は新たな脆弱性が発見されても、製品ベンダによる修正が行われません。よって、脆弱性を悪用した攻撃による情報漏えいや意図しないサービス停止などの被害を受ける可能性が高くなります。対象OSを使用している利用者は、速やかな最新版への移行等の実施が求められます。 対象O

セキュリティ要件適合評価及びラベリング制度（JC-STAR: Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements）とは、ETSI EN 303 645やNISTIR 8425等の国内外の規格とも調和しつつ、独自に定める適合基準（セキュリティ技術要件）に基づき、IoT製品に対する適合基準への適合性を確認・可視化する、我が国の制度です。 本制度の概要 本制度は、2024年8月に経済産業省が公表した「IoT製品に対するセキュリティ適合性評価制度構築方針」に基づき構築された制度で、インターネットとの通信が行える幅広いIoT製品を対象として、共通的な物差しで製品に具備されているセキュリティ機能を評価・可視化することを目的としています。 従来、IoT製品におけるセキュリティ対策の取組については、

活動内容 DXレポートが警鐘を鳴らした「2025年の崖」が目前に迫る中で、産業界のDX/レガシーシステム脱却の進捗は依然としてスピード感に欠ける状況となっている。また、デジタル技術の進化スピードは加速度的に増大しているが、各企業の既存のレガシーシステムが足枷となり、足元では例えば生成AI 等の活用をしたくとも連携や組み込みがスムーズに進められない問題が発生している。 このままではデジタル技術の進化への追従ができず、日本の産業競争力は低下の一途を辿ってしまう。このような事態を打破するためには、レガシーシステムを取り巻く最新の現状や課題を可視化し、今一度方向性を示す必要がある。本委員会は、業種ごとのレガシーシステムの現状と課題および横断的な課題を明らかにし、対応策を検討する。 委員会メンバー 委員長 浦川 伸一 株式会社スカイエージ 委員 石井 尚行 東京海上日動火災保険株式会社 大山 宏 株

公開日：2024年9月25日 最終更新日：2024年10月1日 AIセーフティ・インスティテュート 独立行政法人情報処理推進機構 AIセーフティ・インスティテュート（AISI、所長：村上明子）は、AIセーフティ評価手法の一つであるレッドチーミング手法を解説する「AIセーフティに関するレッドチーミング手法ガイド」を公開しました。AIシステムの開発・提供管理者が本書を参照することで、AIシステムにおける弱点や対策の不備を攻撃者の視点から評価するためのレッドチーミング手法の基本的な考慮事項を理解することができ、それらの堅牢化につなげることができます。 AIセーフティに関するレッドチーミング手法ガイド（第1.00版）本編(PDF:3.1 MB) AIセーフティに関するレッドチーミング手法ガイド（第1.00版）概要説明資料(PDF:1.1 MB) AIシステムの開発・提供・利用が進み、イノベーション

パソコンの画面全体に偽のメッセージが表示され操作不能になる手口が増加中 - 意図せずダウンロードされたファイルを実行しないで！ - 2024年6月から、パソコンを使用中に突然、画面全体に偽のメッセージが表示されて、キーボードやマウスの操作を一切受け付けなくなり、電源を入れなおして再起動しても状況が変わらないという相談が寄せられています（本資料ではこの手口を「操作不能の偽メッセージ」と呼称します）。 メッセージには、マイクロソフトサポートへ電話をするように嘘のメッセージがあることから、これまでの「サポート詐欺（別名：偽のセキュリティ警告）」と同様に相談が寄せられていますが、ウェブブラウザに偽の警告を表示していたものとは手口が異なり、これまでのサポート詐欺の手口でご案内した対処が通用しないことが確認されています。 手口の詳細や原因および目的などは不明な部分が多いですが、継続して相談が寄せられて

背景 サイバーインシデント発生時にセキュリティ担当者はその被害の封じ込め、復旧対応のために現場から経営層までさまざまな部署の担当者と円滑に連携して対応していく必要があります。このように組織一体となってサイバーインシデントに対応し、状況を回復していく力を「サイバーレジリエンス」といいますが、このサイバーレジリエンスを実現していくためには多くの企業が以下のような課題を抱えていると考えています。 1.同じ企業の中の部署であっても、それぞれの部署がもつ専門性や文化の違いからサイバーインシデント対応において必要な連携の 中でコミュニケーションエラーが発生しやすい可能性がある。 2.サイバーインシデントを体験したことがある担当者が限定的であるため、対応のために必要なコミュニケーションスキルに個人差 がある可能性がある。 そこで本プロジェクトでは、事業会社において、サイバーインシデント対応時の他部署との

背景 昨今のサイバーセキュリティの取り組みの一環として、「脅威インテリジェンス」が注目されていますが、その取り組みが指し示す内容や、事業会社が具体的に実施すべき事項があまり明確にされていないなどの課題があると感じました。 そこで当プロジェクトでは、様々な文献やツール、サービスを利用し、脅威インテリジェンスの概要・概念からその効果、ライフサイクルを整理し、またプロジェクトメンバーで実際に脅威インテリジェンスの取り組みを実践することで、事業会社が取り組む内容の一部をケーススタディとしてガイドラインにて紹介しています。 ガイドラインを活用することで、経営層に脅威インテリジェンスの必要性と導入を提案でき、また運用箇所に目的と運用事項を説明できる内容で構成しています。 また、従来組織が取り組んできたフレームワークやガイドライン、チェックリストをベースとした「コンプライアンス型アプローチ」では、昨今の

背景 本プロジェクトは、ICSCoE7期生において、実業務で脆弱性対応を行う際に、日々公表される全ての脆弱性に対応しきれないという問題や、CVSS（Common Vulnerability Scoring System）基本値のスコアを脆弱性の対応優先度を決めるために利用するには不十分であると考え、これを解決すべく立ち上げられた。CVSS基本値が脆弱性そのものの深刻度を評価する点では有用であるものの、脆弱性の悪用状況やユーザの環境情報を考慮していないため、脆弱性対応の優先度を決定するために、単体で使用するのは適切ではないと考えた。また、CVSSやEPSS（Exploit Prediction Scoring System）などのリスク評価値を脆弱性対応の優先度付けに使用する場合、適切な閾値を設定する必要があると判断した。これらを踏まえて、評価値の妥当性や効率的な運用方法がないかという点につ

背景 近年、サイバー攻撃の件数は増えており、また手法も多様化・巧妙化しています。自社をサイバー攻撃から守るセキュリティはもちろん重要ですが、自社がシステムベンダなら、顧客に提供するシステムのセキュリティも重要です。顧客に提供するシステムが保有する脆弱性は、攻撃者に利用され、顧客の事業被害（ビジネス中断や情報漏洩など）に繋がるリスクをもたらします。ゆえに、システムベンダは顧客に提供するシステムに責任を負う事になります。 このような背景から、開発チームでのセキュリティ対応が喫緊の課題となっていますが、その一方で、開発チームは、新規システム開発や既存システムの新機能追加、バグ修正等で多忙な日々を送っているかと思います。例えば、目下の納期を守るため、すぐには問題にならないセキュリティ対策を後回しにして、結局対応できないという場合もあるかもしれません。 しかし、開発チームが「多忙なので、開発時にセキ

多くの人がお盆休みや夏休みなどの長期休暇を取得する時期を迎えるにあたり、IPAが公開している長期休暇における情報セキュリティ対策をご案内します。 長期休暇の時期は、システム管理者が長期間不在になる等、いつもとは違う状況になりがちです。このような状況でセキュリティインシデントが発生した場合は、対応に遅れが生じたり、想定していなかった事象へと発展したりすることにより、思わぬ被害が発生し、長期休暇後の業務継続に影響が及ぶ可能性があります。 このような事態とならないよう、(1)個人の利用者、(2)企業や組織の利用者、(3)企業や組織の管理者、それぞれの対象者に対して取るべき対策をまとめています。また、長期休暇に限らず、日常的に行うべき情報セキュリティ対策も公開しています。 長期休暇における情報セキュリティ対策 日常における情報セキュリティ対策 上記リンク先において、対象者毎に参照すべき範囲は以下の

トップページ 情報セキュリティ 重要なセキュリティ情報 2024年度 センチュリー・システムズ製FutureNet NXRシリーズ、VXRシリーズおよびWXRシリーズにおける複数の脆弱性（CVE-2024-31070等）について センチュリー・システムズ製FutureNet NXRシリーズ、VXRシリーズおよびWXRシリーズにおける複数の脆弱性（CVE-2024-31070等）について 注釈：追記すべき情報がある場合には、その都度このページを更新する予定です。 概要 センチュリー・システムズ株式会社が提供するFutureNet NXRシリーズ・WXRシリーズはセンター向け・拠点向けVPNルータ、VXRシリーズは仮想ソフトウェアルータです。 FutureNet NXRシリーズ、VXRシリーズおよびWXRシリーズには脆弱性が確認されており、脆弱性が悪用された場合、Telnetに無制限でアクセス