2026.10.04（日）
- 注目検索ワード
株式会社ミツモアは1月15日、「サプライチェーンセキュリティに関する実態調査」の結果を発表した。
株式会社Specteeは12月11日、「製造業のサプライチェーンリスク管理に関する実態調査」2025年版の結果を発表した。
株式会社ハンモックは12月8日、「サプライチェーン強化に向けた情報セキュリティ対策に関する実態調査」の結果を発表した。
本サービスの特徴のひとつは、IPAが推進する「SECURITY ACTION」二つ星の申請要件を満たす支援を、セキュリティコンサルティングと一体で提供する点にある。サプライチェーンリスク対策サービスは雨後の筍のごとく存在するが、公的認証プログラムへの対応を明確にパッケージ化した事例は多くない。
株式会社アシュアードは6月11日、取引先経由のサイバー被害を未然に防ぐ新サービス「Assured企業評価」の提供を同日から開始すると発表した。
経済産業省は5月23日、第9回「産業サイバーセキュリティ研究会」を同日開催したと発表した。
アスピレイション株式会社は5月23日、独立行政法人情報処理推進機構（IPA）産業サイバーセキュリティセンター（ICSCoE）がリスキャナ社の「OSINT脆弱性検知/サプライチェーンリスク管理システム」の使用を開始したと発表した。
経済産業省は4月14日、「サプライチェーン強化に向けたセキュリティ対策評価制度構築に向けた中間取りまとめ」を発表した。
とりわけ対策が困難なサプライチェーンのセキュリティリスクに対応するためには「自社だけ」「本社だけ」ではないのはもちろんのこと、「グループやエコシステム全体の対策」が必要であり、また「IT 部門だけが責を負う仕事でもない」
![[2/25] AI を活用したサプライチェーンセキュリティの最前線を知る ～ 脆弱性診断自動化で防御力を高める秘訣 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/47468.jpg)
本セミナーは NTTデータ先端技術が主催し、AI を活用したクラウド型Webアプリケーション脆弱性診断ツール「AeyeScan」を提供するエーアイセキュリティラボが協賛して実施される。2025 年の崖を乗り越えるために求められることや、「情報セキュリティ十大トレンド」から知るセキュリティチェック観点、AI に対する診断や、AI を活用した脆弱性診断の自動化など、セキュリティ対策の最前線に触れることが可能だ。
いったいどういう理由で SecurityScorecard は「ワイは ASM や」と名乗りをあげないんですか、その方が絶対売れるでしょうに、と以前から疑問に思っていた質問を記者が投げかけると、藤本は SecurityScorecard と ASM の共通点と違いについて簡潔に説明してくれた。
ASM は一企業の問題にとどまらず、サプライチェーンリスクへの対応、ひいては経済安全保障やサイバー防衛といった観点からも重視されつつあるという。
不正な目的のために独自の大規模言語モデル（LLM）を訓練する必要はなくなった。認証情報を盗み、元の設定をジェイルブレイクする方がはるかに安上がりで簡単だなのだ。犯罪者たちがそれに気づいてしまった今、生成AI を使用した大規模なサプライチェーン攻撃の脅威は、より現実味を帯びてきた。
本誌の取材に対して株式会社ベリサーブ 武田一城氏は10月3日、「SBOMはまだ製造業、特に車両と医療機器業界の製品に組み込まれたソフトウェア用途が中心。現在複数の製造業でSBOM導入の検討が内部で進んでいる状況である。9月6日のSBOM.JPリリースの後、複数の大手メーカーから問い合わせをいただいている」と回答した。
SecurityScorecard株式会社は9月2日、SecurityScorecardとCyentia Instituteの最新調査「Global 2000: 業界の巨人がサプライチェーンのサイバーリスクという脅威と闘う（英語版）」を発表した。
「nOAuth（エヌオース）」と呼ばれる脆弱性が、よりによって脆弱性管理基盤「S4（エスフォー）」に存在し、かなり限定的な条件ではあったものの攻撃が成立することが 2024 年 5 月に開発者によって実証された。
![夏休みはちゃんと取れ／ミサイル防衛網サプライチェーンリスク／セキュリティ企業に北技術者入社 ほか [Scan PREMIUM Monthly Executive Summary 2024年7月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/45814.png)
大規模インシデントして、ウクライナの CyberResistance によるインドのロシア製ミサイル防衛システムの情報リーク「BaumankaLeaks」が話題です。
総務省と SBOM という組み合わせの妙に加え、雑多な雰囲気の会場でおカタい話、もしかして参加者はかなり少ないんじゃないか、などと多少イジワルな気持ちも相まって興味が沸いた筆者は、2023 年 6 月 14 日、この講演に足を運ぶことにした。
NRIセキュアテクノロジーズ株式会社（NRIセキュア）は3月21日、セキュリティ対策状況を評価するプラットフォーム「Secure SketCH」に新機能として「組織管理オプション」を提供すると発表した。
BSIグループジャパン株式会社は3月19日、 2023年の世界のサプライチェーンリスクに関する報告書「サプライチェーンリスク・インサイトレポート2024」を発表した。
グループが M&A 等により海外子会社や拠点を増やした時期だ。セキュリティレベルはおろか、業務システムやポリシーも対策もバラバラな状態で海外拠点のインシデントも発生、セキュリティクライテリアの格差問題も認識されるようになった。モバイルやクラウド環境へのセキュリティ対応は、Okta、ZScaler、CrowdStrike といったフレームワークによってゼロトラストネットワークを構築した。そしてこれを全拠点に展開するが、グローバルで同じインフラを使うとなると、基準となるポリシー統一が不可欠となる。
リリースされた直後から S4 を同社の IT 管理に活用している原に、S4 のユースケースや便利なところ、要望のあるところなど、さまざまな話を聞いた。
トレンドマイクロは、「2023年国内サイバー攻撃を振り返る～組織が把握すべき動向～」と題する記事を公開した。前後編で構成される前編となる今回は、2023年を振り返り、その動向を解説している。
日本電信電話株式会社（NTT）と日本電気株式会社（NEC）は10月11日、サプライチェーンセキュリティリスクの低減を目的とする「セキュリティ・トランスペアレンシー・コンソーシアム（Security Transparency Consortium」の発足を発表した。
では、具体的に何を OSINT で発見すればいいのか。杉浦氏は次の 5 項目を挙げた。どれも攻撃者視点で考えられていることに注目してほしい。攻撃者は何を考えているのか。どこを狙ってくるのか。そのうえで攻撃に必要な情報はなにか。彼らはその情報を調べるはずだ。
一般社団法人情報処理学会は7月4日、サプライチェーンを安全にするサイバーセキュリティ技術についての論文を広く募集すると発表した。
一口にサプライチェーン攻撃といっても、それが指す攻撃の種類、目的、アタックサーフェスは複数のパターンが考えられる。関連報道を見ているとき、「これはどのレベルのサプライチェーンを指しているのか」と気になることがある。
プルーフポイントのリサーチャーは、2022 年第 1 四半期から 2023 年第 1 四半期にかけて、国家を後ろ盾とする攻撃グループAPT（Advanced Persistent Threat）に標的とされた中小企業（SMB）の調査分析を実施しました。
株式会社クラフは5月11日、同社のセキュリティ・マネジメント・システム「S4」を東南アジア向けに提供すると発表した。東南アジア向けS4は、ベトナム SHIFT ASIA CO., LTD.との協業で運営される。
IPAは、「令和4年度中小企業等に対するサイバー攻撃の実態調査」調査実施報告書を公開した。サプライチェーンを構成する中小企業を対象に、実際にUTMやEDRを導入して攻撃状況を収集・分析している。
![中露攻撃ツール共有／米TSA新セキュリティ要件／Win版Outlook未解決の脆弱性／英MI5新組織設立 ほか [Scan PREMIUM Monthly Executive Summary 2023年3月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/41179.jpg)
3 月の注目の脅威動向についてですが、北朝鮮の Lazarus が 3CX 社のビデオ会議ソフトウェアを悪用してソフトウェアサプライチェーン攻撃を実施していた可能性が報告されています。
ID とパスワードによる認証などより、ずっと良い選択肢の存在を、市場が理解してくれることを 20 年以上「待っていた」。
パロアルトネットワークス株式会社は1月11日、2023年に注目される5大サイバー脅威予測を「サイバーセキュリティ・プレディクション 2023」と題して発表した。
こんな「トンデモ仮説」が浮かんでしまったのは、2022 年 12 月に公開されたとあるプレスリリースに目を通して、それをもとにいろいろ考えたことがきっかけだった。無料セキュリティプラットフォーム「S4（エスフォー）」の運営費用の公開である。
タニウム合同会社は12月12日、OpenSSL v3を含むオープンソースソフトウェアに起因する外部脅威からデジタル資産を保護するための「Tanium Software Bill of Materials（Tanium SBOM）」のリリースを発表した。
一般社団法人 日本経済団体連合会（経団連）は、「サイバーセキュリティ経営ガイドライン Ver3.0（案）」に対する意見を発表した。
![米 CISA、サプライチェーン安全確保ガイダンス発表／Zoom における 3 つの脆弱性／APT41 の新たなサブグループ「Earth Longzhi」 ほか [Scan PREMIUM Monthly Executive Summary 2022年11月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/39985.jpg)
注目のセキュリティ関連のガイドラインが幾つか公開されています。
先進的なサイバーセキュリティプロジェクトにしてひとつの社会実験でもある「S4（エスフォー）」が一種の「中間決算」を行い、これまでの活動報告を行った。
JNSAは、「JNSAセキュリティしんだん」に新たな記事「サプライチェーンの情報セキュリティマネジメントの関連規格と現状」を掲載した。
Internet Week 2022が、11月21日から11月30日にかけて開催される。前半はオンライン開催、後半の3日間はリアル会場(東京大学伊藤謝恩ホール)での参加も可能なハイブリッドで開催される。主催は一般社団法人日本ネットワークインフォメーションセンター（JPNIC）。
厚生労働省は11月10日、医療機関等におけるサイバーセキュリティ対策の強化について注意喚起を発表した。タイトルタグによると参事官井上氏と中澤氏が文書の修正を行っている。
日本プルーフポイント株式会社は11月2日、2023年のサイバーセキュリティ予想を発表した。
公正取引委員会と経済産業省は、「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」と題するガイドラインを発表した。
日本銀行は10月21日、G7サイバー・エキスパート・グループ（Cyber Expert Group）が策定した「金融セクターにおけるサードパーティのサイバーリスクマネジメントに関するG7の基礎的要素」について発表した。
一般社団法人日本経済団体連合会（経団連）は10月4日、「経団連サイバーセキュリティ経営宣言 2.0」を発表した。
トレンドマイクロ株式会社は9月15日、「2022年上半期サイバーセキュリティレポート 「侵入」する脅威が浮き彫りにする「サプライチェーンリスク」」を公開した。
日本電気株式会社（NEC）は9月9日、ネットワーク機器の真正性を確保し脅威を可視化する「NECサプライチェーンセキュリティマネジメント for ネットワーク」を製品化し、同日から販売開始すると発表した。
JPCERT/CCは「JPCERT/CC Eyes」に「なぜ、SSL-VPN製品の脆弱性は放置されるのか ～“サプライチェーン”攻撃という言葉の陰で見過ごされている攻撃原因について～」を公開した。
トレンドマイクロ株式会社と株式会社日経リサーチは7月1日、国内の大企業に勤めるセキュリティ責任者・DX責任者を対象に実施した「サイバーセキュリティに関する調査」の結果を発表した。
トレンドマイクロ株式会社は4月6日、日本国内及び海外における2021年のセキュリティ動向を分析した報告書「2021年 年間セキュリティラウンドアップ～「サプライチェーン」を経由した攻撃と被害の連鎖～」を公開した。
独立行政法人情報処理推進機構（IPA）は3月30日、クラウドサービスのサプライチェーンリスクマネジメント調査の結果を公開した。
株式会社Flatt Securityは3月9日、ソフトウェアサプライチェーンのためのセキュリティプラットフォーム「Shisho Cloud」のサービス公開に先立ち、事前登録を同日から開始すると発表した。
株式会社ソリトンシステムズは3月2日、サイバー攻撃の過去の履歴と実態を調査し、その対策構築を支援する「サプライチェーンセキュリティリスク調査サービス」の開始を発表した。
日本電信電話株式会社（NTT）と日本電気株式会社（NEC）は10月27日、情報通信インフラにおけるサプライチェーンセキュリティリスクへの対策として「セキュリティトランスペアレンシー確保技術」の開発を発表した。
アクロニス・ジャパン株式会社は10月20日、サイバーセキュリティを取り巻く最新の状況や世界的なパンデミックの真っ只中にある企業やリモートワーカーが直面する問題を包括的にまとめた「Acronis Cyber Readiness Report」を発表した。
トレンドマイクロ株式会社は9月16日、2020年の1年間に確認した日本国内における「標的型攻撃」に関しての分析を同社ブログで発表した。
株式会社KDDI総合研究所と東芝情報システム株式会社は7月1日、半導体回路に悪意のある機能（ハードウェアトロイ）が含まれないことをサプライチェーン上の組織間で共有する実証実験を同日から30日まで実施すると発表した。
内閣サイバーセキュリティセンター（NISC）は5月13日、サイバーセキュリティ戦略本部第28回会合を開催し、資料を発表した。
![彷彿 Stuxnet／セキュリティ業界資金調達史上最高／サプライチェーン対処ベストプラクティス ほか [Scan PREMIUM Monthly Executive Summary] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/34318.jpg)
米国がこれらの 3 カ国によるサイバー攻撃への対応として、経済制裁だけに留まらず、物理的紛争（ドローンによる特定施設への物理的打撃まど）に発展することへの懸念を示しています。
![2020 総括／SolarWinds 介しサプライチェーン攻撃／不完全パッチによる残留 0day 公開 ほか [Scan PREMIUM Monthly Executive Summary] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/33082.jpg)
2020 年最後の月は、インシデントが多く報じられました。まず、米国政府
機関などへの SolarWinds 社製品を介したサプライチェーン攻撃は、米国土安
全保障省（ DHS ）が緊急指令を発出するなど、世界的な注目を集めました。
独立行政法人情報処理推進機構（IPA）は12月24日、「ニューノーマルにおけるテレワークとITサプライチェーンのセキュリティ実態調査」の一部を中間報告として公開した。
独立行政法人情報処理推進機構（IPA）は、産業界が一体となってサプライチェーン全体でのサイバーセキュリティ対策の推進を行うことを目的としたサプライチェーン・サイバーセキュリティ・コンソーシアムを11月1日に設立すると発表した。
株式会社ラックは10月16日、SOMPOリスクマネジメント株式会社と協業し、サプライチェーン全体のセキュリティ対策状況を評価する「サプライチェーンリスク評価サービス」の提供を同日より開始すると発表した。
